Concept

Injection de consignes

Une attaque qui glisse des consignes cachées dans un texte pour détourner le comportement d'un modèle de langage.

D'où ça vient

En mai 2022, Jonathan Cefalu, de Preamble, a repéré cette faille (il parlait d'« injection de commandes ») et l'a signalée à OpenAI. Le terme « prompt injection » a été utilisé pour la première fois par un utilisateur de Twitter, @himbodhisattva, en mai 2022. Simon Willison l'a ensuite popularisé en septembre 2022, en le distinguant du contournement de protections (jailbreak). En 2023, Kai Greshake et son équipe ont décrit une seconde classe d'attaques, où du contenu externe se fait passer pour une consigne de l'utilisateur.

C'est quoi, concrètement

Un modèle de langage reçoit souvent les consignes du développeur et le texte de l'utilisateur dans le même bloc, et il a du mal à les départager. Une personne malveillante en profite pour écrire une phrase comme « ignore les directives précédentes » et changer ce que le modèle fait. Ça peut être direct, quand c'est l'utilisateur qui l'écrit. Ça peut aussi être indirect, quand la consigne est cachée dans un courriel, un document ou une page web que l'outil lit pour toi.

Exemples

Traduction détournée : Dans un outil qui traduit du texte, une phrase glissée dans le texte à traduire ordonne d'ignorer la tâche et d'écrire autre chose à la place.
Texte caché dans un CV : Une personne ajoute du texte blanc dans son CV pour pousser une IA d'évaluation à lui donner une bonne note sans tenir compte du contenu.
Page web piégée : Du contenu invisible sur un site peut influencer les réponses d'un outil de recherche IA, par exemple en remplaçant des avis négatifs par des avis positifs.
Fuite de consignes internes : Des utilisateurs ont amené Bing Chat, de Microsoft, à révéler ses directives internes et son nom de code « Sydney » en lui disant d'ignorer ses consignes précédentes.
Instructions cachées dans des documents : Un chercheur a montré que des consignes dissimulées dans un document pouvaient être mémorisées par Gemini, puis déclenchées plus tard par une action de l'utilisateur.

Ce que ça permet

Comprendre cette attaque t'aide à mieux choisir où brancher un outil IA dans tes processus.
Elle montre pourquoi il faut séparer les consignes de l'outil et les données qu'il lit.
Des mesures existent pour réduire le risque: filtrage des entrées et des sorties, accès limité aux droits nécessaires, tests adverses.
Exiger une validation humaine pour les opérations sensibles limite les dégâts.
Former ton équipe, comme on le fait pour l'hameçonnage, améliore le réflexe de méfiance.

Pièges à éviter

Aucune solution n'élimine complètement le risque. Le Centre national de cybersécurité du Royaume-Uni parle d'un problème possiblement inhérent à cette technologie.
Compter seulement sur une consigne du genre « fais attention aux injections » a une efficacité limitée.
Le RAG et le réglage fin n'éliminent pas la menace.
Les consignes cachées peuvent se trouver dans des courriels, des documents, des pages web ou même des images.
Un outil qui a accès à beaucoup de données ou d'actions peut causer plus de dégâts si on le détourne.

Pour ta PME

Si tu branches un outil IA sur tes courriels, tes documents ou le web, considère tout ce contenu externe comme potentiellement piégé. Limite ce à quoi l'outil a accès, évite de lui confier des données sensibles ou des renseignements personnels (Loi 25), et garde une approbation humaine avant toute action importante, comme envoyer un message ou modifier un dossier. Forme aussi ton équipe à se méfier des contenus qui semblent donner des ordres à l'IA.

Sources : Wikipédia · mis à jour le 2026-11-06

Infolettre gratuite

« 5 prompts, 1 café »

Reçois 5 prompts prêts à copier chaque matin à 6 h 30.