Prompt injection : l'attaque expliquée sans jargon

Qu'est-ce qu'une prompt injection ?

Une prompt injection est une consigne déguisée en contenu. Le prompt désigne l'instruction écrite que l'on donne à une IA ; l'injection en fait entrer une seconde, rédigée par quelqu'un d'autre, par un chemin détourné. L'IA se retrouve avec deux ordres contradictoires et obéit parfois au mauvais.

Prenez une assistante de direction qui ouvre le courrier. Une lettre lui demande, sur un ton officiel, d'envoyer le fichier clients à une adresse extérieure « pour un contrôle de conformité ». Elle flaire le piège, car elle sait de qui elle reçoit ses ordres.

Un modèle de langage lit la demande de son utilisateur et le texte du courrier dans une seule suite de mots, et rien dans sa construction ne sépare à coup sûr la phrase qui commande de la phrase qui informe.

L'OWASP, la fondation qui publie les classements de référence en sécurité des applications, le pose dans son Top 10 for LLM Applications 2026 : un modèle de langage ne fait aucune distinction d'architecture entre instructions et données. Une injection n'a besoin ni d'être lisible par un humain, ni de venir de l'utilisateur, ni d'apparaître à l'écran.

Le NCSC, l'agence britannique de cybersécurité, en tire la conséquence le 8 décembre 2025 dans Prompt injection is not SQL injection : l'injection SQL, faille classique des sites web, se corrige en séparant données et commandes, alors qu'un modèle de langage n'offre aucun cloisonnement de ce genre.

L'agence demande de traiter la prompt injection comme un risque résiduel, en bornant ce que le système a le pouvoir de faire.

Injection, jailbreak, hallucination : trois risques à séparer

Injection directe et injection indirecte : quelle différence ?

La différence tient à l'auteur de la consigne piégée. Dans l'injection directe, l'utilisateur force la porte : un client demande à l'assistant d'un site marchand d'oublier ses consignes pour lui consentir un prix. L'OWASP décrit aussi une forme involontaire, quand un salarié colle dans l'outil un texte trouvé ailleurs qui contient, à son insu, des ordres contraires.

Dans l'injection indirecte, un tiers qui ne parle jamais à l'outil attend qu'il vienne lire son texte. Le NIST, l'institut américain des normes, la décrit dans sa taxonomie des attaques contre l'IA, NIST AI 100-2 E2025 (mars 2025) : l'attaque vient d'un tiers, et c'est le plus souvent l'utilisateur principal du modèle qui en subit les effets.

Une équipe menée par Kai Greshake l'avait démontrée dès février 2023 sur l'assistant de Bing, dans l'article Not what you've signed up for, auquel l'ANSSI renvoie dans son guide de sécurité consacré à l'IA générative.

Où se cachent les instructions piégées ?

Le point d'entrée est tout contenu que l'IA lit sans que vous l'ayez écrit. L'inventaire de l'OWASP et les cas publiés donnent, en situations de bureau :

• Une page web : texte blanc sur fond blanc, commentaire d'internaute, passage invisible dans le code de la page.
• Un mail entrant : une ligne que personne ne lit, ou un paragraphe d'allure administrative adressé à « l'assistant » du destinataire.
• Un document : un PDF de fournisseur, un CV, une fiche de poste, un classeur téléchargé.
• Une invitation d'agenda : le titre ou la description d'un rendez-vous envoyé par un inconnu.
• La réponse d'un connecteur : ce que renvoie un outil branché sur l'assistant, par exemple un serveur MCP (le protocole qui relie une IA à vos logiciels).
• Une image, un son, la mémoire de l'assistant : l'édition 2026 couvre les consignes logées hors du texte, et celles qui, une fois mémorisées, ressurgissent à chaque conversation.

Vos propres outils peuvent contenir le piège. Un CRM, une base de tickets ou une boîte partagée recueillent des textes venus de l'extérieur par un formulaire public. L'attaquant n'a aucun besoin d'entrer dans votre système : il dépose son texte là où votre IA passera, et l'IA agit ensuite avec vos droits.

Pourquoi les agents IA et les navigateurs qui agissent aggravent le risque

Un assistant qui rédige produit un texte qu'un humain relit. Un agent IA (un logiciel qui enchaîne lui-même des actions dans vos outils) envoie, réserve, classe, partage, paie. Contre un assistant, une injection réussie donne un résumé faux ; contre un agent, un mail parti ou une commande passée. Notre guide des agents IA en entreprise présente ces outils.

Trois ingrédients rendent une fuite possible

Le développeur britannique Simon Willison a nommé le danger le 16 juin 2025 : la « trifecta létale ». Une fuite devient possible dès qu'un agent cumule l'accès à vos données privées, l'exposition à des contenus non fiables et la possibilité de communiquer vers l'extérieur. Retirer une seule des trois ferme cette voie.

Meta en a tiré une règle de conception le 31 octobre 2025, la « règle de deux » : dans une même session, un agent ne réunit que deux de ces propriétés, et une tâche qui exige les trois passe par une validation humaine. L'OWASP retient cette règle comme seuil minimal dans son édition 2026.

La quatrième colonne réserve une surprise. Pour une IA, afficher une image hébergée ailleurs ou ouvrir un lien peut suffire à faire sortir une information, glissée dans l'adresse demandée. L'OWASP décrit ce scénario, et Microsoft a bloqué ce canal dans Copilot après le signalement du chercheur Johann Rehberger.

Le navigateur IA agit avec vos sessions ouvertes

Un navigateur IA (un navigateur dans lequel l'assistant clique, remplit et valide à votre place) concentre les trois ingrédients : il lit des pages écrites par n'importe qui, hérite des comptes où vous êtes connecté et peut publier, envoyer ou payer. Les chercheurs de Brave l'ont montré le 20 août 2025 sur Comet, le navigateur de Perplexity.

Un commentaire Reddit piégé suffisait : l'utilisateur demandait un résumé, et l'assistant récupérait son adresse mail, faisait envoyer un code de connexion, le lisait dans la messagerie ouverte, puis publiait les deux pour l'attaquant. Brave a jugé incomplets les premiers correctifs de Perplexity.

Le CERT-FR, le centre de réponse aux incidents de l'ANSSI, a diffusé le 13 avril 2026 un bulletin sur les assistants qui pilotent un poste de travail, en citant OpenClaw et Claude Cowork.

Il rappelle « la vulnérabilité des LLM aux injections de prompt », écarte leur déploiement en production, les cantonne à des environnements de test isolés sans données sensibles, et rend la validation humaine obligatoire dès qu'une action à effet de bord est envisagée.

Exemples d'attaques par prompt injection documentés

Ces cas ont été rendus publics par leurs auteurs ou par l'éditeur concerné, puis corrigés ou atténués. Aucun ne demandait de virus ni de mot de passe volé. Chaque fois, l'attaquant a écrit un texte, et l'IA a fait le reste avec les droits de sa victime.

EchoLeak : un mail suffit à faire parler Copilot

Les chercheurs d'Aim Labs ont montré qu'un mail bien tourné, reçu par un salarié, pouvait amener Microsoft 365 Copilot à faire sortir des données internes sans que personne ne clique, en contournant le filtre anti-injection de Microsoft et sa suppression des liens externes.

Microsoft a enregistré la faille sous la référence CVE-2025-32711, notée 9,3 sur 10 (critique), l'a corrigée sur ses serveurs et indique qu'aucune exploitation n'était connue.

Une invitation d'agenda qui ouvre les fenêtres

Avec Invitation Is All You Need, présenté à l'été 2025, Ben Nassi, Stav Cohen et Or Yair donnent au risque une portée physique. Une invitation envoyée par un inconnu portait des instructions ; quand la victime demandait ensuite à Gemini ses prochains rendez-vous, l'assistant les exécutait, jusqu'à ouvrir des fenêtres ou allumer une chaudière de la maison connectée.

Signalés à Google le 22 février 2025, ces travaux ont conduit l'éditeur à renforcer la confirmation des actions sensibles et le filtrage des contenus non fiables.

Les éditeurs publient aussi leurs échecs

En présentant le pilote de Claude in Chrome le 25 août 2025, Anthropic décrivait un faux mail d'employeur qui réclamait la suppression de messages : sans protections, Claude s'exécutait sans confirmation. Sur 123 tests couvrant 29 scénarios, les premières parades faisaient passer le taux de réussite des attaques de 23,6 % à 11,2 %, soit encore plus d'une attaque sur dix.

OpenAI observe de son côté, dans son article du 11 mars 2026, que les attaques les plus efficaces ressemblent à de l'ingénierie sociale : un mail crédible, qui évoque une réorganisation et affirme que l'assistant peut transmettre des données à un service de conformité. Signalée par des chercheurs extérieurs, cette attaque réussissait une fois sur deux lors des tests.

Peut-on supprimer la prompt injection ?

Personne ne promet de l'éliminer. L'OWASP écrit qu'aucun mécanisme de prévention fiable n'existe : il faut supposer que la barrière du modèle cédera un jour, et limiter ce qu'il pourra faire ce jour-là. Le NCSC invite à se méfier des produits qui prétendent « arrêter » l'injection.

OpenAI juge que les « pare-feu pour l'IA » laissent passer les attaques bien construites, car repérer une entrée malveillante revient à détecter un mensonge. Microsoft parle d'un risque inhérent au fonctionnement des modèles et admet que certaines injections peuvent échapper à ses défenses.

Anthropic écrivait en novembre 2025 qu'un taux de réussite de 1 % représente encore un risque réel.

Le classement 2026 contient un paradoxe : premier risque pour les praticiens consultés, l'injection sort du top 10 des 6 639 incidents publics classés par l'OWASP. L'organisation y voit un effet de la défense, si intense que peu d'attaques abouties atteignent les bases publiques, alors que la surface reste partout où un modèle lit un contenu non fiable.

Que font les éditeurs contre la prompt injection ?

Les quatre grands éditeurs combinent les mêmes défenses : un modèle entraîné à refuser les consignes suspectes, des filtres sur les contenus entrants, des confirmations avant les actions qui engagent et des verrous sur les canaux de sortie.

Le tableau résume ce que chacun documente, relevé le 1er novembre 2026 sur les pages d'aide d'Anthropic et d'OpenAI et dans les billets de sécurité de Microsoft (29 juillet 2025) et de Google (13 juin 2025).

Au 1er novembre 2026, OpenAI a retiré son navigateur Atlas et son ancien mode agent, et renvoie pour les tâches web vers le navigateur cloud de ChatGPT Work.

Trois réglages méritent l'œil d'un responsable informatique. Lancé comme session Cowork, le panneau latéral de Claude in Chrome fonctionne par défaut en approbation automatique, où Claude filtre ses propres actions ; le mode manuel fait valider chaque geste. Chez OpenAI, l'option « Toujours autoriser » ouvre l'accès à tous les sites, et l'éditeur la déconseille.

Chez Microsoft, la détection externe des menaces pour Copilot Studio, en préversion, laisse par défaut l'outil s'exécuter si le service de détection ne répond pas en une seconde ; l'administrateur peut choisir le blocage à la place.

Comment se protéger de la prompt injection en entreprise ?

La protection part d'une hypothèse : une injection finira par passer, et elle doit alors ne rien pouvoir casser. Notre guide pour superviser des agents IA en production détaille l'identité, les droits et la trace de chaque agent ; les sept règles qui suivent se concentrent sur ce que l'injection change.

1. Accorder les droits minimaux

Chaque assistant reçoit les seuls accès que sa tâche exige : un dossier au lieu de tout le Drive, la lecture avant l'écriture, une boîte partagée au lieu de la messagerie du dirigeant. Le CERT-FR le demande pour les agents : actions et outils limités au strict nécessaire. Désactivez les connecteurs inutiles ; un connecteur éteint ne peut pas être détourné.

2. Faire valider par un humain les actions sensibles

L'agent prépare et une personne décide dès que l'action sort de l'entreprise, engage de l'argent ou ne se défait pas : mail vers l'extérieur, paiement, achat, suppression, partage de fichier, changement de droits. La recommandation R9 du guide de l'ANSSI sur l'IA générative (avril 2024) l'exigeait déjà : un système d'IA ne doit pas exécuter seul des actions critiques.

Attention à la confirmation devenue réflexe : dans le cas GitHub, beaucoup d'utilisateurs avaient choisi « toujours autoriser ». L'OWASP recommande de montrer au validateur l'action exacte, avec son destinataire et son contenu.

En août 2026, Masteria a formé le gérant d'un cabinet de géomètres-experts d'une vingtaine de collaborateurs, qui reliait Outlook, son agenda et OneDrive à Claude. Deux garde-fous ont été posés d'emblée : chaque brouillon est relu avant de partir, et une charte d'usage personnelle a été posée dès le premier matin.

3. Tenir les contenus non fiables à l'écart des actions

L'ANSSI recommande de limiter, voire de proscrire, les actions automatiques lancées à partir d'entrées non maîtrisées comme le web ou les mails (recommandation R27). Quatre réglages appliquent la règle de deux :

• Séparer les rôles : l'agent qui lit le courrier entrant classe et résume ; un autre outil, ou une personne, envoie.
• Isoler la navigation : un profil de navigateur dédié, sans session ouverte sur la banque ou la paie, comme le conseille Anthropic.
• Restreindre les sites : une liste de sites autorisés tenue par l'administrateur.
• Recenser les entrées : formulaires publics, tickets, CV, factures de fournisseurs, invitations externes ; chacune ouvre une porte.

4. Journaliser ce que l'IA lit et fait

Une injection réussie laisse peu de traces visibles ; les journaux permettent de la reconstituer. L'ANSSI recommande d'enregistrer les requêtes, les traitements appliqués avant l'envoi au modèle, ses entrées et ses sorties (R29). Le NCSC conseille d'y joindre les appels d'outils et de surveiller ceux qui échouent, signe possible d'un attaquant qui ajuste son texte.

Si des données personnelles sont sorties, la violation se documente et, quand elle présente un risque pour les personnes, se notifie à la CNIL dans les meilleurs délais, si possible sous 72 heures.

5. Choisir ses extensions, compétences et connecteurs

Une compétence, une extension ou un serveur MCP installés sans examen apportent leurs propres instructions. Anthropic demande de n'installer des compétences Claude que depuis des sources de confiance, après lecture de leurs fichiers. L'OWASP recommande de vérifier chaque serveur MCP et d'examiner les descriptions d'outils.

Notre article sur les serveurs MCP en entreprise détaille ce branchement.

6. Tester avant d'ouvrir

Faites travailler l'agent dans un environnement de test, avec des comptes et des documents fictifs, avant de le brancher sur la vraie messagerie. Glissez-y un document qui contredit la tâche et observez la réaction de l'outil. Recommencez à chaque changement de modèle ou de connecteur.

7. Former les équipes à reconnaître les signaux

Anthropic liste les signaux qui doivent faire stopper une tâche : l'assistant change soudain de sujet, ouvre des sites inattendus ou réclame des informations sensibles. Chaque utilisateur doit savoir arrêter l'outil et prévenir la personne désignée ; la charte IA d'entreprise fixe ce circuit d'alerte.

En formation, une démonstration sur un document fictif convainc davantage qu'un exposé. La formation sécurité IA de Masteria consacre un atelier à l'injection de prompt sur des comptes de test, et la formation agents IA apprend à concevoir des agents qui laissent la décision à une personne.

Dix questions à poser avant d'activer un agent

1. 1Quels contenus extérieurs l'agent lira-t-il : pages web, mails, documents, tickets, invitations ?
2. 2À quelles données privées a-t-il accès, et lesquelles ne servent pas sa tâche ?
3. 3Peut-il envoyer, publier, payer, supprimer ou partager sans accord humain ?
4. 4Cumule-t-il, dans une même session, contenus non fiables, données sensibles et capacité d'agir ?
5. 5Quelles actions s'arrêtent pour validation, et qui les valide ?
6. 6Le validateur voit-il l'action exacte, destinataire et contenu compris ?
7. 7Les connecteurs inutiles sont-ils coupés et les sites autorisés listés ?
8. 8Les journaux gardent-ils entrées, sorties et appels d'outils, hors de portée de l'agent ?
9. 9Un essai avec un document piégé a-t-il eu lieu dans un environnement isolé ?
10. 10Chaque utilisateur sait-il arrêter l'outil et à qui signaler un comportement suspect ?

Que faire si vous soupçonnez une prompt injection ?

Un assistant qui agit de travers après avoir lu un contenu extérieur se traite comme un incident de sécurité, en six gestes :

1. 1Arrêter la tâche ou l'agent en cours, sans chercher à raisonner l'assistant.
2. 2Couper les connecteurs concernés et révoquer les accès qu'ils utilisaient.
3. 3Conserver la conversation, les journaux et le contenu suspect pour l'analyse.
4. 4Vérifier ce qui est sorti : mails envoyés, fichiers partagés, rendez-vous modifiés, règles de transfert créées.
5. 5Prévenir le RSSI ou le prestataire informatique, et le DPO si des données personnelles sont en jeu.
6. 6Signaler le cas à l'éditeur par le canal prévu.

Les mots de la prompt injection, en une ligne chacun

• Prompt : l'instruction écrite que l'on adresse à une IA.
• Injection indirecte : consigne cachée par un tiers dans un contenu que l'IA lira plus tard.
• Jailbreak : injection qui cherche à faire franchir au modèle ses règles de sécurité.
• Exfiltration : sortie discrète de données vers l'attaquant, par un mail, un lien ou une image.
• Règle de deux : principe de Meta selon lequel un agent ne cumule pas, sans validation humaine, contenus non fiables, données sensibles et capacité d'agir.
• Moindre privilège : n'accorder à un outil que les droits indispensables à sa tâche.
• Classifieur : modèle de tri qui signale les contenus suspects avant qu'ils n'atteignent l'IA.

Le glossaire de l'IA rassemble les autres termes utiles.

Lire, agir, valider : trois verbes décident du risque

Une IA qui lit le monde extérieur lit aussi ce que d'autres y écrivent pour elle. La question utile pour un dirigeant tient en trois verbes : ce que l'assistant peut lire, ce qu'il peut faire seul, et qui dit oui avant que ce soit fait. Une entreprise qui sait répondre aux trois peut confier davantage à ses agents, sans attendre que la faille disparaisse.

Sources consultées

• OWASP GenAI Security Project, Top 10 for LLM Applications 2026 (3 août 2026), entrées LLM01 et LLM03.
• NCSC, Prompt injection is not SQL injection (it may be worse) (8 décembre 2025).
• NIST, AI 100-2 E2025, Adversarial Machine Learning (mars 2025), section 3.4.
• ANSSI, guide de sécurité pour un système d'IA générative (29 avril 2024), recommandations R9, R27 et R29.
• CERT-FR, bulletin CERTFR-2026-ACT-016 (13 avril 2026).
• Greshake et al., Not what you've signed up for (arXiv, 23 février 2023).
• Simon Willison, The lethal trifecta for AI agents (16 juin 2025).
• Meta AI, Agents Rule of Two (31 octobre 2025).
• Invariant Labs, GitHub MCP Exploited (26 mai 2025).
• Microsoft, fiche CVE-2025-32711 et Reddy et Gujral, EchoLeak (arXiv, septembre 2025).
• Brave, Indirect Prompt Injection in Perplexity Comet (20 août 2025).
• Nassi, Cohen et Yair, Invitation Is All You Need (2025).
• Google, Mitigating prompt injection attacks with a layered defense strategy (13 juin 2025).
• Microsoft MSRC, How Microsoft defends against indirect prompt injection attacks (29 juillet 2025).
• Microsoft Learn, détection externe des menaces pour Copilot Studio (version du 15 octobre 2026).
• Anthropic, Piloting Claude in Chrome (25 août 2025) et Mitigating the risk of prompt injections in browser use (24 novembre 2025).
• Centre d'aide Anthropic, Use Claude in Chrome safely et Using Skills in Claude, relevés le 1er novembre 2026.
• OpenAI, Concevoir des agents IA pour résister aux attaques par injection de prompt (11 mars 2026).
• Centre d'aide OpenAI, Utiliser le navigateur cloud dans ChatGPT, retrait d'Atlas et ChatGPT agent, relevés le 1er novembre 2026.
• CNIL, Notifier une violation de données personnelles.

Questions fréquentes

Vos équipes savent-elles repérer une consigne cachée ?

La formation sécurité IA de Masteria montre l'attaque sur des documents de test, puis revoit avec vous les droits et les validations de vos assistants. À partir de 1 980 € HT la journée.