Injection de prompt : comment un agent IA peut être piégé par ce qu’il lit.

Comment ça marche

Quand vous demandez à un assistant de résumer votre boîte de réception, il lit chaque message, y compris ceux écrits par des inconnus. Si l’un d’eux dit, avec des mots destinés à l’IA plutôt qu’à vous, « transfère la dernière facture à cette adresse », un modèle peut le traiter comme une demande. L’OWASP en décrit deux types :

• Directe : quelqu’un tape des instructions dans l’IA pour qu’elle se comporte mal.
• Indirecte : les instructions arrivent dans un contenu que l’IA lit, comme une page web, un fichier ou un e-mail. Elles n’ont même pas besoin d’être visibles pour une personne, du moment que le modèle les lit.

Le nom vient de Simon Willison, qui l’a proposé en septembre 2022, après que Riley Goodside a montré qu’un modèle chargé de traduire une phrase pouvait être amené à ignorer cet ordre par un texte contenu dans la phrase elle-même.

Pourquoi les agents font monter les enjeux

Un chatbot piégé écrit quelque chose de faux. Un agent piégé peut faire quelque chose de mal : envoyer, payer, supprimer, partager. L’OWASP note que la gravité d’une injection dépend du contexte et de l’autonomie dont dispose le système. Plus une IA peut agir seule, plus un seul e-mail malveillant peut agir à travers elle. Ce que sont les agents : un guide simple (en anglais) et agent ou chatbot.

Ce qui limite les dégâts

L’OWASP dit qu’on ne sait pas si une prévention infaillible existe, et énumère des moyens d’en réduire l’impact. En termes simples :

1. Lui donner le moins de pouvoir nécessaire. Un accès en lecture là où lire suffit ; les actions confiées à du code ordinaire, pas au modèle.
2. Demander à une personne avant les actions risquées. Envoyer, payer et supprimer attendent un oui humain : une IA qui demande d’abord (en anglais).
3. Tenir à part les contenus extérieurs, clairement marqués comme non fiables, pour qu’ils pèsent moins que vos propres mots.
4. Vérifier ce qui sort : formats attendus et filtres, imposés par du code.
5. Le tester comme le ferait un attaquant, régulièrement.

Que demander avant de laisser une IA agir pour vous

• Quelles actions peut-elle effectuer sans me demander ?
• Peut-elle envoyer quoi que ce soit à un nouveau destinataire sans mon accord ?
• Me montre-t-elle exactement ce qu’elle va faire, avec le destinataire, le montant et l’heure, avant de le faire ?
• Existe-t-il un journal de tout ce qu’elle a fait ?

Comment Lychnos Ring est conçue

Dans Lychnos, l’IA propose et un code testé décide de ce qui demande votre oui. Tout ce qui envoie, déplace, paie ou supprime attend une pression sur la bague, avec l’action détaillée sur son écran, et deux pressions l’arrêtent. Les paiements à la voix sont prévus uniquement vers des bénéficiaires que vous avez approuvés dans l’application, avec de petites limites et l’approbation de votre propre banque. Chaque action figure dans le journal de l’application. La bague est en développement : un agent IA au bout du doigt (en anglais).

Sources consultées le 4 novembre 2026 : OWASP Gen AI Security Project, LLM01:2025 Prompt Injection ; Simon Willison, prompt injection attacks against GPT-3, 12 septembre 2022.