CD Consulting R&D

KB-AI · Entry 10 · Published 2026-10-26 · Version 1

Les données ne sont pas des ordres : l'injection de prompt dans les agents LLM, et ce qui tient vraiment (octobre 2026) — version française

French companion of entry 10: why prompt injection is structural, what three years of incidents and benchmarks show, which defences only lower the odds and which bound the damage, and the ten rules a company should apply, in a condensed French version; the full entry and its 92 sources are in English.

If you let an AI agent read documents, mail, web pages or tool results and then act on your behalf, and read French more easily than English, this is the comparison in brief, with the incidents, the numbers and the design rules; the full entry and its 92 sources are in English.

Method: condensed French version of entry 10, from the same sources consulted on 21 and 26 October 2026; 31 selected sources listed in section 8; vendor figures and secondary figures identified as such. Nothing was installed or executed.

Contents

1. 1. L'essentiel en six points
2. 2. Pourquoi c'est structurel
3. 3. Ce que montrent les incidents
4. 4. Ce que disent les bancs
5. 5. Les réponses, classées par niveau de preuve
6. 6. Ce qu'une entreprise doit faire : concevoir comme si l'injection réussissait
7. 7. Ce qui reste ouvert
8. 8. Sources

1. L'essentiel en six points

1. L'injection n'est pas un bogue, c'est le mécanisme. Un modèle reçoit instructions et données dans un seul flux de jetons, et la compétence qu'on lui achète — suivre des instructions — est exactement ce que l'attaquant exploite. Il n'existe pas d'équivalent des requêtes paramétrées [S1][S2].
2. Tout ce qui entre dans le contexte est un canal : page, courriel, document, résultat d'outil, description d'outil MCP, mémoire, fichiers de configuration d'un dépôt, skill, image, autre agent. Dix-sept canaux sont documentés ; le canal de sortie est presque toujours une URL [S3][S4].
3. Toute défense probabiliste testée de façon adaptative a été contournée, la plupart à plus de 90 % : classifieurs, délimiteurs, hiérarchie d'instructions, entraînement anti-injection, juges LLM. Les chiffres « proches de zéro » viennent d'attaques statiques [S5].
4. Un taux résiduel de 1 % n'est pas une sécurité. Avec des réessais il tend vers la certitude — un modèle mesuré passe de 4,7 % à 63 % entre un et cent essais — et sur des milliers d'actions par jour c'est un incident régulier [S6][S7].
5. Les seules garanties sont architecturales : séparation structurelle des flux, politique déterministe hors du code de l'agent, confinement par le système d'exploitation, approbation humaine par action, réduction de surface. Elles sont conditionnelles, coûtent de l'utilité, et ne se composent pas d'office entre agents [S8][S9][S10].
6. Les éditeurs le disent eux-mêmes : « no browser agent is immune », « may never be totally mitigated », risque « inhérent », « unlikely to ever be fully 'solved' », « protection in the model layer will never be 100% effective ». Leur réponse commune est la défense en profondeur et la réduction d'impact, jamais une garantie [S11][S12][S30].

2. Pourquoi c'est structurel

Trois causes convergent dans toute la littérature. Pas de séparation code / données : prompt système, demande de l'utilisateur, document lu et sortie d'outil arrivent par le même canal, et les rôles (system, user, tool) sont des conventions apprises, pas une frontière matérielle ; une étude par sondes internes montre que le texte injecté occupe le même espace de représentation que le rôle qu'il imite — le modèle juge « qui parle » au style du texte, pas à l'étiquette [S13]. Suivi d'instructions appris : l'entraînement enseigne au modèle d'obéir à ce qui ressemble à une instruction, où qu'elle se trouve. Hiérarchie non garantie : la priorité système > utilisateur > outil est une préférence statistique — l'article d'OpenAI sur la hiérarchie d'instructions dit qu'elle « drastically increases robustness », pas qu'elle garantit — contournable par imitation et par optimisation [S14]. Un article de 2026 va plus loin et argumente l'impossibilité : un attaquant peut toujours construire un contexte où un flux de données interdit paraît légitime, et resserrer les normes bloque aussi des flux légitimes ; séparer données et instructions est nécessaire, pas suffisant [S31].

Corollaire : une défense dans le modèle rend un score ; un score se cherche, et l'attaquant joue en second. Une borne ne peut venir que d'un composant déterministe hors du modèle : ce que l'agent peut lire, à qui il peut parler, ce qu'il peut exécuter, qui doit dire oui avant une action.

Jailbreak ≠ injection. Le jailbreak vise l'éditeur (contenu interdit, dans le prompt de l'utilisateur) ; l'injection indirecte vise l'utilisateur (un tiers place une instruction dans une donnée que l'agent traite pour lui). L'instruction injectée peut être anodine en soi (« envoie ce résumé à telle adresse ») : elle n'est fautive que par rapport à la tâche. Un classifieur de contenu nocif n'a rien à détecter ; il faut un contrôle de cohérence avec l'intention et de flux de données [S2][S15].

Pourquoi les agents aggravent tout. Un chatbot compromis dit ; un agent compromis fait. Chaque outil qui lit est un canal ; l'autonomie supprime la relecture humaine (EchoLeak, sur Microsoft 365 Copilot, n'exigeait aucun clic) ; les privilèges sont hérités de l'utilisateur ; le protocole MCP compose des outils de sources différentes dans une même session ; mémoire et fichiers de configuration donnent la persistance ; les chaînes d'agents propagent [S3][S16]. Et un modèle plus capable n'est pas plus sûr : un banc trouve une corrélation de 0,66 entre capacité et vulnérabilité, un autre une « inverse scaling », un éditeur note que mieux suivre les instructions aide l'attaquant [S17][S18].

3. Ce que montrent les incidents

Trente-trois cas de 2023 à 2026 ont été catalogués pour l'entrée. Trois constantes : la « trifecta » de Willison (données privées + contenu non fiable + canal de sortie) dans presque tous les cas ; l'URL comme canal de sortie (image Markdown, lien, requête de navigation, DNS) ; le dépôt de code hostile par défaut (fichiers .env, configuration d'agent et de MCP, hooks, README, règles) [S4][S19].

Six incidents ont atteint la production, et non une démonstration responsable : la fuite publique du prompt système de Bing ; un prompt effaceur livré dans une mise à jour officielle d'Amazon Q ; la compromission de la chaîne d'approvisionnement Nx, où des outils d'IA en ligne de commande ont été retournés pour chercher des secrets (480 comptes et 6 700 dépôts privés exposés selon un décompte) ; un serveur MCP de courrier piégé, sain pendant quinze versions ; une place de marché de skills malveillantes ; l'exposition d'un réseau social d'agents. Tous relèvent de la chaîne d'approvisionnement ou de l'exposition, pas de l'injection indirecte pure, qui reste surtout une démonstration responsable, avec des signes d'usage réel depuis fin 2025 [S19][S20].

Les délais de correction parlent : rapides quand l'éditeur maîtrise un client (onze à vingt-huit jours), lents sur les plateformes (deux à cinq mois), nuls pour les défauts d'architecture, requalifiés en « comportement attendu » [S19]. Ce que les éditeurs ont changé après leurs incidents est la leçon pratique : suppression du rendu d'images et de liens, retrait des commandes « en lecture seule » des listes pré-approuvées (elles portaient des données), affichage de la commande entière et approbation par binaire, confirmation avant toute exécution de configuration MCP, modes lecture seule par défaut, publication de taux résiduels.

Mise à jour 2026. Les dix premiers mois de 2026 n'ajoutent aucun mécanisme nouveau, mais déplacent trois choses. Les surfaces : une description d'événement d'agenda qui fait résumer par Gemini des réunions privées dans un événement lisible par l'attaquant, en contournant un classifieur d'injection dédié (janvier) [S25] ; un évaluateur de commandes de Cursor qui faisait confiance aux commandes internes du shell, si bien qu'une variable d'environnement empoisonnée dans un README transformait un git approuvé en exécution de code, CVE-2026-22708 (janvier) [S19] ; un titre de pull request qui a fait publier leur propre clé d'API, en commentaire, par les agents de revue GitHub de trois éditeurs — correctifs silencieux, aucun CVE, primes de 100, 1 337 et 500 dollars (avril) [S26] ; des configurations MCP de projet exécutées sur un « oui » par défaut par quatre agents en ligne de commande (mai) [S19]. La télémétrie : le balayage du web public par Google mesure une hausse relative de 32 % des contenus d'injection malveillants entre novembre 2025 et février 2026, de faible sophistication — « attackers are experimenting » [S27]. Le régime de divulgation : peu d'incidents d'injection reçoivent un CVE, les correctifs sont souvent silencieux, les primes sont basses ; les décomptes publics sous-estiment donc le phénomène [S26]. Une correction au dossier 2025 : CVE-2025-53773 désigne l'exécution de code à distance dans GitHub Copilot par un prompt qui écrivait un réglage d'auto-approbation dans la configuration de l'éditeur ; « CamoLeak », l'exfiltration par le proxy d'images de GitHub, ne porte aucun CVE dans sa divulgation [S19].

4. Ce que disent les bancs

Le banc de référence, AgentDojo (ETH Zurich, 2024), mesure l'utilité sans attaque, l'utilité sous attaque et le taux de succès de l'attaque sur un agent à outils. Sur son attaque de référence, les modèles nus allaient en 2024-2025 de 1,1 % à 56 % ; le même modèle varie d'un facteur treize selon l'attaque choisie [S17].

Les défenses et leur coût, sur ce banc : un filtre d'outils ramène GPT-4o de 58 % à 7 % sans perte d'utilité, mais tombe dès que l'outil utile sert l'attaque ; un classifieur ramène à 8 % et fait chuter l'utilité de 69 % à 41 % par ses faux positifs ; les délimiteurs n'atteignent que 42 % ; la défense en couches de Meta divise par dix pour cinq points d'utilité ; son modèle entraîné atteint 1,9 %, puis 32 % face à des attaquants humains et 47 % sous attaque adaptative [S17][S21][S22]. L'architecture CaMeL (Google DeepMind et ETH) ramène 300 attaques réussies à zéro, au prix de sept points de tâches résolues (84 % → 77 %) et d'environ 2,8 fois plus de jetons [S8].

Les deux résultats qui comptent : l'évaluation adaptative — une étude de 2025 contourne les huit défenses testées à plus de 50 %, une autre, signée de chercheurs de Google DeepMind, d'OpenAI et de l'ETH, en contourne douze « la plupart à plus de 90 % » contre les taux proches de zéro annoncés [S5] — et les réessais : l'évaluation d'Anthropic sur son agent de navigation joue cent essais par environnement et publie 1,4 % pour son meilleur modèle avec garde-fous [S6] ; une évaluation indépendante de trois modèles de pointe voit le succès monter de 4,7 % à 63 %, et pour d'autres de 12,5 % à 92 %, entre un et cent essais [S7]. Un taux résiduel est un taux par essai ; l'attaquant n'est pas limité à un.

Mise à jour 2026 : concours de masse et chiffres d'éditeurs. Deux concours publics donnent l'échelle. Celui de Gray Swan avec l'AI Security Institute britannique (2025) : 1,8 million d'attaques humaines contre 22 agents de pointe, plus de 60 000 violations de politique, la plupart des agents tombant en 10 à 100 requêtes, et une robustesse corrélée ni à la taille ni à la capacité du modèle [S28]. Son successeur de 2026, l'IPI Arena : environ 272 000 tentatives de 464 attaquants contre 13 modèles sur 41 scénarios agentiques, 8 648 réussites, de 0,5 % à 8,5 % selon le modèle, des attaques universelles pour 21 des 41 comportements, aucun modèle indemne ; l'arène mesure des modèles, pas des défenses de système [S29]. Côté éditeurs, Anthropic a publié en 2026 une série de chiffres qui montre pourquoi les taux d'éditeur ne forment pas une courbe : environ 0,1 % au premier essai et 5 à 6 % après cent essais adaptatifs pour un modèle, avec l'aveu que « protection in the model layer will never be 100% effective » [S30] ; pour son agent de navigation, le retrait d'une évaluation saturée et, sur une plus dure, 17,6 % puis 3,8 % pour deux modèles successifs avant garde-fous, puis 0 à 0,3 % avec sondes et classifieur — chiffres que l'éditeur déclare non comparables à ceux de 2025 ; pour son dernier modèle, un 0 % sur 129 scénarios qui ne tient qu'avec un « auto mode » logiciel au-dessus du modèle, 3,7 % sans, connu par la presse seulement [S19]. Lus ensemble : la couche modèle progresse, les protocoles changent avec elle, et le chiffre qui compte pour une entreprise — le succès d'un attaquant motivé sur son propre déploiement — n'est publié par personne.

5. Les réponses, classées par niveau de preuve

Trois niveaux : [C] prouvé par construction dans un modèle de menace déclaré ; [B] mesuré sur banc contre un ensemble fini d'attaques ; [R] revendiqué par l'éditeur sans protocole public.

La détection détecte sans borner : elle réduit le volume d'attaques banales, alimente le journal et crée de la friction ; elle ne voit que ce que le harnais lui passe. Plus le juge voit de contenu non fiable, plus il est injectable ; moins il en voit, plus il manque de contexte. L'échec ouvert ou fermé doit être une décision écrite par classe d'action, fermé avant tout geste irréversible ou sortant.

Correction. On ne corrige que ce qu'on peut retracer et on ne répare que ce qu'on peut défaire : une exfiltration ne se rembobine pas ; les points de reprise des agents de code ne défont que les éditions de fichiers ; la spécification MCP ne traite pas la révocation des jetons ; aucun cadre public ne détaille la séquence couper → geler les preuves → révoquer et faire tourner les secrets → restaurer → purger mémoire et configuration → rejouer [S23][S24].

6. Ce qu'une entreprise doit faire : concevoir comme si l'injection réussissait

1. Nommer la trifecta pour chaque déploiement : dire laquelle des trois jambes est coupée ; un agent qui a les trois exige une supervision par action.
2. Contrôler les sorties, pas seulement les entrées : la liste des canaux de sortie admis, imposée par mécanisme, parce que l'URL est le canal d'exfiltration dominant et qu'une commande « en lecture seule » peut en être un.
3. Moindre privilège, et la commande entière : permissions par outil ; approbation sur toute la commande, pas son premier mot ; jamais de clé d'administration.
4. Le dépôt est hostile par défaut : rien de ce qu'il contient ne se charge avant le consentement explicite de l'humain ; skills et serveurs MCP sont des actifs revus, épinglés par version et par hachage.
5. La provenance comme règle : tout contenu lu porte une provenance ; seul l'humain en session mandate ; le non fiable est résumé par un composant sans outils avant d'entrer dans celui qui agit ; un résultat d'outil n'est jamais relu comme une instruction.
6. Séparer les flux là où l'enjeu le justifie, avec un des patrons publiés, et accepter la perte de généralité.
7. Approuver par action, et combattre la fatigue d'approbation : réserver l'approbation à l'irréversible et au sortant, montrer l'action entière, ne jamais laisser un mode non interactif transformer « demander » en silence.
8. Détecter comme couche d'observation, réglages écrits : où, ce qu'il voit, échec ouvert ou fermé par classe d'action, mode observation d'abord, taux de faux positifs mesuré sur le trafic réel.
9. Tracer tout, préparer la réponse avant l'incident : inventaire des secrets accessibles, identité d'agent révocable, journal des décisions d'outils, séquence de réponse écrite, matrice d'attaque rejouée après tout changement.
10. Dire ce qu'est une règle en langage naturel : « les données ne sont pas des ordres » écrit dans les instructions d'un modèle est une disposition, qui réduit la fréquence sans borner le pire cas ; elle devient une borne quand un mécanisme l'impose et qu'une mesure prouve qu'elle a tenu. Un RSSI entendra la différence entre « nous bloquons l'injection » et « nous avons conçu comme si elle réussissait ».

7. Ce qui reste ouvert

Aucune attaque adaptative publiée contre les garanties de flux de CaMeL ou de FIDES, hors canaux auxiliaires et composition ; aucune réplication indépendante des chiffres d'éditeur ; aucun banc pour la mémoire, la configuration, le multimodal et le multi-agent à grande échelle ; le coût humain des faux positifs chiffré nulle part ; la composition des garanties entre agents non résolue.

8. Sources

Sélection ; la liste complète (92 sources typées et datées) est dans l'entrée anglaise de ce chapitre. Consultées les 21 et 26 octobre 2026.

1. S1 Official. OWASP, « Top 10 for LLM Applications 2025 », LLM01 : Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/
2. S2 Researcher. Simon Willison, série « Prompt injection », 2022-2026. https://simonwillison.net/series/prompt-injection/
3. S3 Academic. Kai Greshake et al., « Not what you've signed up for », 2023 ; arXiv:2302.12173. https://arxiv.org/abs/2302.12173
4. S4 Researcher. Simon Willison, « The lethal trifecta for AI agents », 16 juin 2025. https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/
5. S5 Academic. « The Attacker Moves Second: Stronger Adaptive Attacks Bypass Defenses Against LLM Jailbreaks and Prompt Injections », 2025 ; arXiv:2510.09023 ; et Carlini et al., arXiv:2503.00061. https://arxiv.org/abs/2510.09023
6. S6 Vendor research. Anthropic, « Prompt injection defenses for agents », 24 novembre 2025. https://www.anthropic.com/research/prompt-injection-defenses
7. S7 Press (relais d'une évaluation tierce, à confirmer). The Decoder, évaluation Gray Swan à 1, 10 et 100 essais, novembre 2025. https://the-decoder.com/
8. S8 Academic et vendor research. Debenedetti et al. (Google DeepMind, ETH), « Defeating Prompt Injections by Design » (CaMeL), mars 2025 ; arXiv:2503.18813. https://arxiv.org/abs/2503.18813
9. S9 Academic et vendor research. Beurer-Kellner et al., « Design Patterns for Securing LLM Agents against Prompt Injections », juin 2025 ; arXiv:2506.08837. https://arxiv.org/abs/2506.08837
10. S10 Academic. « Can CaMeLs Talk? » (non-composition des garanties de flux entre agents), 2025 ; arXiv:2610.05640. https://arxiv.org/abs/2610.05640
11. S11 Vendor. Anthropic, « Piloting Claude for Chrome », 26 août 2025. https://www.anthropic.com/news/claude-for-chrome
12. S12 Official. National Cyber Security Centre (Royaume-Uni), orientations sur l'injection de prompt, 2023-2025. https://www.ncsc.gov.uk/
13. S13 Academic. Ye, Cui et Hadfield-Menell, étude par sondes des instructions injectées, ICML 2026 ; arXiv:2603.12277. https://arxiv.org/abs/2603.12277
14. S14 Vendor research. Wallace et al. (OpenAI), « The Instruction Hierarchy », 2024 ; arXiv:2404.13208. https://arxiv.org/abs/2404.13208
15. S15 Researcher. Simon Willison, « Prompt injection and jailbreaking are not the same thing », 5 mars 2024. https://simonwillison.net/2024/Mar/5/prompt-injection-jailbreaking/
16. S16 Vendor et researcher. Aim Security, « EchoLeak », CVE-2025-32711, juin 2025. https://www.aim.security/lp/aim-labs-echoleak-blogpost
17. S17 Academic. Debenedetti et al., « AgentDojo », NeurIPS 2024 ; arXiv:2406.13352 ; page de résultats. https://agentdojo.spylab.ai/
18. S18 Vendor research. Google DeepMind, « Lessons from Defending Gemini Against Indirect Prompt Injections », 2025 ; arXiv:2505.14534. https://arxiv.org/abs/2505.14534
19. S19 Author's catalogue. Trente-trois incidents et divulgations publics, 2023-2026, compilés dans l'entrée anglaise (sources S24 à S57), consultés le 21 octobre 2026 ; complétés le 26 octobre 2026 par les cas et chiffres de 2026 (sources S74 à S92 de l'entrée anglaise : Pillar Security, Cloud Security Alliance, Legit Security, Embrace The Red, Anthropic « auto mode », The Decoder).
20. S20 Vendor research. Wiz, « s1ngularity », août-septembre 2025. https://www.wiz.io/blog/
21. S21 Vendor research. Meta, « LlamaFirewall », 2025 ; arXiv:2505.03574. https://arxiv.org/abs/2505.03574
22. S22 Academic et vendor research. Microsoft et partenaires, « LLMail-Inject », 2025 ; arXiv:2506.09956. https://arxiv.org/abs/2506.09956
23. S23 Official. NIST, « AI 600-1, Generative AI Profile », 2024. https://csrc.nist.gov/pubs/ai/600/1/final
24. S24 Official. Model Context Protocol, « Authorization », révision du 28 juillet 2026. https://modelcontextprotocol.io/specification/latest/basic/authorization
25. S25 Vendor research. Miggo Security, « Weaponizing calendar invites: a semantic attack on Google Gemini », 19 janvier 2026. https://www.miggo.io/post/weaponizing-calendar-invites-a-semantic-attack-on-google-gemini
26. S26 Press. VentureBeat, « Comment and Control » (titres de pull request contre trois agents de revue GitHub ; correctifs silencieux, primes), 21 avril 2026. https://venturebeat.com/security/ai-agent-runtime-security-system-card-audit-comment-and-control-2026
27. S27 Vendor. Google, « AI threats in the wild: prompt injections on the web » (balayage de Common Crawl ; +32 % relatif entre novembre 2025 et février 2026), 23 avril 2026. https://blog.google/security/prompt-injections-web/
28. S28 Academic. Zou et al., concours Gray Swan avec l'UK AI Security Institute (1,8 million d'attaques, 22 agents), 28 juillet 2025 ; arXiv:2507.20526. https://arxiv.org/abs/2507.20526
29. S29 Academic et official. Gray Swan AI avec l'UK AISI et le CAISI américain, « IPI Arena », 16 mars 2026 ; arXiv:2603.15714. https://arxiv.org/abs/2603.15714
30. S30 Vendor. Anthropic, « How we contain Claude across products », 25 mai 2026. https://www.anthropic.com/engineering/how-we-contain-claude
31. S31 Academic. Sahar Abdelnabi et Eugene Bagdasarian, « AI agents may always fall for prompt injections », 17 mai 2026 ; arXiv:2605.17634. https://arxiv.org/abs/2605.17634