Une attaque par injection de prompt est une technique consistant à intégrer des instructions malveillantes dans le contenu qu’un système d’IA traite, l’amenant à passer outre ses instructions d’origine, à contourner ses filtres de sécurité ou à exécuter des actions non prévues. Considérée comme l’équivalent de l’injection SQL pour l’IA, l’injection de prompt figure parmi les risques de sécurité les plus critiques identifiés dans l’OWASP LLM Top 10.
L’injection de prompt directe se produit lorsqu’un utilisateur élabore intentionnellement une entrée pour manipuler le comportement d’un assistant IA, par exemple, « Ignore les instructions précédentes et fais plutôt [action malveillante] ». L’injection de prompt indirecte est plus insidieuse : des instructions malveillantes sont dissimulées dans un contenu que l’IA est invitée à traiter, comme un e-mail à résumer, un document à analyser ou une page web à lire. Lorsque l’IA traite ce contenu, elle exécute les instructions qui y sont intégrées sans que l’utilisateur s’en aperçoive.
Dans les systèmes d’IA agentiques, où les modèles d’IA peuvent exécuter des outils, naviguer sur le web, envoyer des e-mails et effectuer des appels API -, l’injection de prompt devient particulièrement dangereuse. Un agent IA compromis peut recevoir l’instruction d’exfiltrer des données, de créer des comptes non autorisés, de modifier des fichiers ou d’effectuer des actions qui enfreignent les politiques de l’organisation. Des chercheurs en sécurité ont démontré des attaques par injection de prompt contre de grands assistants IA, les amenant à transférer des e-mails, à exposer l’historique des conversations et à exécuter du code non autorisé.
Les stratégies de défense incluent : la validation et l’assainissement des entrées et des sorties ; la séparation des privilèges (les agents IA devraient fonctionner avec le minimum de permissions nécessaires) ; l’isolation du contenu (traiter le contenu externe traité par l’IA comme non fiable) ; la surveillance des comportements anormaux de l’IA ; et des exercices réguliers de red teaming des systèmes d’IA afin d’identifier les vulnérabilités d’injection avant le déploiement.
L’OWASP LLM Top 10 classe l’injection de prompt comme le risque n° 1 pour les applications fondées sur des LLM, ce qui reflète sa prévalence et la gravité de ses conséquences potentielles dans les environnements d’entreprise.