Au cours des deux derni\u00e8res ann\u00e9es, le prompt injection<\/strong> est devenu l’outil pr\u00e9fer\u00e9 des cyberattaquants visant les syst\u00e8mes d’intelligence artificielle. Cette technique consiste \u00e0 dissimuler une instruction malveillante dans un e-mail, une invitation de calendrier ou une page web, permettant \u00e0 une IA de suivre les ordres d’un intrus plut\u00f4t que ceux d’un utilisateur l\u00e9gitime. Cependant, cette m\u00eame m\u00e9thode peut \u00e9galement \u00eatre utilis\u00e9e pour contrer les attaques.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Tracebit<\/strong> a r\u00e9cemment publi\u00e9 une \u00e9tude d\u00e9montrant qu’il est possible d’arr\u00eater un agent d’IA qui attaque un syst\u00e8me en ins\u00e9rant, aux c\u00f4t\u00e9s des mots de passe que l’attaquant souhaite voler, un texte destin\u00e9 \u00e0 activer les m\u00e9canismes de rejet du mod\u00e8le. D\u00e8s que l’IA d\u00e9tecte ce texte, ses barri\u00e8res de s\u00e9curit\u00e9 se d\u00e9clenchent et l’attaque est imm\u00e9diatement stopp\u00e9e, une technique que les chercheurs appellent le context bombing<\/strong>.<\/p>\n La logique derri\u00e8re cette m\u00e9thode est assez simple. Les grands mod\u00e8les de langage poss\u00e8dent des th\u00e8mes qu’ils s’interdisent d’aborder pour des raisons de s\u00e9curit\u00e9, politiques ou r\u00e9glementaires. Tracebit exploite cette faille en pla\u00e7ant pr\u00e8s des informations sensibles des fragments de texte qui orientent le mod\u00e8le vers des sujets tabous. Andy Smith, cofondateur et CEO de Tracebit, a expliqu\u00e9 que cette technique active un m\u00e9canisme de rejet contextuel, rendant difficile pour les agents de se r\u00e9tablir apr\u00e8s une telle intrusion.<\/p>\n Il convient de noter que chaque mod\u00e8le r\u00e9agit diff\u00e9remment. Pour les mod\u00e8les occidentaux, comme ceux d’Anthropic ou de Google, il a \u00e9t\u00e9 efficace d’inclure des r\u00e9f\u00e9rences \u00e0 la fabrication d’armes biologiques. En revanche, pour les syst\u00e8mes chinois, mentionner le “Tank Man”, c\u00e9l\u00e8bre figure des manifestations de Tiananmen en 1989, s’av\u00e8re \u00eatre une cl\u00e9 efficace, \u00e9tant donn\u00e9 que ce sujet est strictement censur\u00e9 par le gouvernement chinois.<\/p>\n Tracebit a test\u00e9 sa technique sur cinq des mod\u00e8les les plus avanc\u00e9s (Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro, et Kimi 2.6) dans un environnement simul\u00e9 d’Amazon Web Services. Au total, 152 tentatives d’attaque ont \u00e9t\u00e9 enregistr\u00e9es. Les r\u00e9sultats montrent une diminution significative des acc\u00e8s administratifs non autoris\u00e9s, de 57% \u00e0 seulement 5%, et une chute des tentatives r\u00e9ussies pour installer des portes d\u00e9rob\u00e9es permanentes, passant de 36% \u00e0 1%.<\/p>\n La beaut\u00e9 de cette m\u00e9thode r\u00e9side dans le fait qu’elle exploite une vuln\u00e9rabilit\u00e9 difficile \u00e0 corriger. Selon les chercheurs, bien qu’un d\u00e9veloppeur puisse reencher un mod\u00e8le pour qu’il soit moins restrictif sur un sujet de s\u00e9curit\u00e9, abolir les restrictions politiques et r\u00e9glementaires, qui font partie int\u00e9grante de la conception, est un d\u00e9fi bien plus complexe.<\/p>\n En mai, Tracebit avait d\u00e9j\u00e0 propos\u00e9 un syst\u00e8me de “canards” dans le cloud, o\u00f9 des ressources semblent l\u00e9gitimes mais ne sont jamais utilis\u00e9es, d\u00e9clenchant des alertes lors des tentatives d’acc\u00e8s. Cependant, le context bombing<\/strong> est n\u00e9 pour compenser le manque de r\u00e9activit\u00e9 observ\u00e9 dans ces pr\u00e9c\u00e9dentes m\u00e9thodes. Cette tactique permet de stopper une attaque plut\u00f4t que de simplement alerter.<\/p>\n Cependant, aucune solution n’est parfaite. Ni Tracebit ni d’autres experts ne pr\u00e9tendent que cette m\u00e9thode r\u00e9soudra d\u00e9finitivement le probl\u00e8me du prompt injection. Il reste des risques que des mod\u00e8les confondent parfois une instruction avec un \u00e9l\u00e9ment de donn\u00e9es dans leur contexte, rendant le prompt injection toujours possible.<\/p>\nContexte de l’attaque<\/h3>\n
Comment cela fonctionne-t-il ?<\/h3>\n
Exemples adapt\u00e9s aux mod\u00e8les<\/h3>\n
R\u00e9sultats impressionnants<\/h3>\n
Vuln\u00e9rabilit\u00e9 int\u00e9gr\u00e9e<\/h3>\n
Ant\u00e9c\u00e9dents et solutions<\/h3>\n
La route \u00e0 suivre<\/h3>\n