Prompt injection : comment pirate-t-on une IA ?

Le prompt injection, c'est quoi exactement ?

Le prompt injection, ou injection de prompt en français, désigne toute technique qui glisse des instructions dans le texte lu par un modèle de langage afin de détourner son comportement. L'OWASP, la fondation de référence en sécurité applicative, la classe LLM01, soit la première vulnérabilité de son Top 10 des applications à base de LLM. Elle y figure depuis la première édition et elle y est restée en 2026.

La comparaison la plus parlante est celle de l'ingénierie sociale. Un escroc au téléphone n'a pas besoin de casser votre serrure, il vous convainc d'ouvrir la porte. Le prompt injection fait exactement cela, mais avec une machine, et sans qu'aucun humain ne soit au courant.

• Le vecteur : du texte, et uniquement du texte. Un commentaire, un avis client, un e-mail, une page web, un document PDF, une description de produit.
• La cible : le modèle de langage lui-même, ou plus souvent l'agent logiciel construit autour de lui, celui qui a le droit d'envoyer des messages, de naviguer ou de payer.
• L'objectif : faire exécuter une action non désirée (exfiltrer une donnée, valider un achat, modifier un fichier) tout en la masquant à l'utilisateur.

Pourquoi les LLM y sont structurellement vulnérables

Un modèle de langage ne voit qu'une seule suite de tokens (les petits morceaux de texte, environ trois ou quatre caractères, que le modèle manipule à la place des mots). Le prompt système écrit par l'éditeur, votre question, la page web récupérée par l'agent, le contenu d'un e-mail : tout arrive dans le même flux, sans étiquette de confiance. Rien, dans l'architecture, ne dit au modèle « ceci est un ordre légitime, cela n'est qu'une donnée à lire ».

C'est la différence radicale avec l'injection SQL, la faille équivalente des bases de données. Là, le problème a été réglé dans les années 2000 par les requêtes préparées, qui séparent physiquement le code des données. Pour un LLM, cette séparation n'existe pas. Le texte est à la fois le programme et l'entrée du programme.

Les éditeurs eux-mêmes ne prétendent plus le contraire. Le 22 décembre 2025, OpenAI écrivait à propos de son navigateur agentique ChatGPT Atlas que « le prompt injection, comme les arnaques et l'ingénierie sociale sur le web, ne sera probablement jamais totalement résolu ». Une entreprise qui qualifie publiquement une faille de permanente, c'est suffisamment rare pour être noté.

COMPRENDRE LES LLM · SEPTEMBRE 2026

Prompt injection : aucun modèle n'est immunisé

• LLM01 rang du prompt injection au Top 10 OWASP des applications LLM
• 272 000 attaques soumises par 464 participants, arène Gray Swan, mars 2026
• 4 / 26 modèles ayant réellement payé une facture frauduleuse (Zscaler, juillet 2026)

Taux de réussite des attaques par injection indirecte, modèle par modèle

Part des tentatives adverses ayant abouti (ASR, plus bas est meilleur), arène Gray Swan en conditions d'agent réel. Relevé consolidé au 7 septembre 2026, dates de test variables selon les modèles.

• Claude Opus 4.5 0,5 %
• GPT-5 2,0 %
• Grok 4 2,9 %
• Kimi K2 Thinking 4,8 %
• Llama 3.1 405B 5,9 %
• Gemini 2.5 Pro 8,5 %

Ce qui réduit vraiment le risque

• Validation humaine avant action sensible
• Moindre privilège de l'agent
• Classifieurs de contenu adverse
• Isolation de la session agentique
• Journalisation des actions

Ce qui ne suffit pas

• Demander au modèle d'ignorer les ordres
• Filtrer une liste de mots-clés
• Faire confiance au HTML visible
• Attendre un correctif définitif

À retenir : aucun modèle testé n'atteint zéro, l'écart entre le meilleur et le moins résistant va de 1 à 17. Pour une entreprise, la question n'est donc pas de choisir un modèle invulnérable mais de limiter ce qu'un agent compromis peut faire avec vos données et vos comptes.

Télécharger l'infographie (PNG)

Injection directe ou indirecte : deux familles d'attaques

Il existe deux grandes familles d'injection de prompt, et elles ne présentent pas du tout le même niveau de risque pour une entreprise. La première suppose que l'attaquant parle lui-même au modèle. La seconde n'a besoin de personne.

L'injection directe, ou le jailbreak classique

Dans l'injection directe, c'est l'utilisateur qui rédige lui-même le message piégé pour contourner les garde-fous (les « guardrails », les règles de refus intégrées au modèle pendant son entraînement). Dans sa synthèse de la menace publiée le 4 février 2026, le CERT-FR, rattaché à l'ANSSI, décrit ces techniques comme « des formulations ambiguës, des mots-clés spécifiques ou encore l'utilisation de scénarios fictifs ». Le document signale aussi l'apparition, depuis 2024, de services commerciaux de jailbreak à la demande vendus sur les forums cybercriminels.

Ce risque concerne surtout les éditeurs de modèles et les entreprises qui exposent un chatbot public. Il reste gênant, mais il suppose un attaquant qui se manifeste.

L'injection indirecte, la vraie menace de 2026

L'injection indirecte est nettement plus préoccupante : les instructions malveillantes ne viennent pas de l'utilisateur, mais d'un contenu tiers que l'agent va lire de lui-même. Une page web, un ticket de support, un avis client, un dépôt de code, un e-mail entrant. L'utilisateur, lui, demande simplement un résumé.

Cette famille explose avec la montée de l'IA agentique, ces assistants autorisés à agir et plus seulement à répondre. Un modèle qui se contente d'écrire du texte peut au pire dire une bêtise. Un agent qui a accès à votre boîte mail, à votre CRM ou à votre moyen de paiement peut faire beaucoup plus de dégâts avec la même bêtise.

Trois cas documentés, pas des scénarios de laboratoire

Le prompt injection n'est plus une hypothèse d'article de recherche. Trois travaux publics, tous datés et vérifiables, montrent des attaques qui fonctionnent sur des produits commercialisés.

Août 2025, l'affaire Comet. Les équipes sécurité de Brave publient le 20 août 2025 une démonstration visant Comet, le navigateur assistant de Perplexity. Des instructions cachées dans un commentaire Reddit, sous une balise de contenu masqué, suffisaient à détourner l'assistant : il allait chercher l'adresse e-mail du compte, ouvrait la messagerie, récupérait le code de vérification à usage unique et le recopiait publiquement. La faille avait été signalée le 25 juillet, un premier correctif est arrivé le 27, jugé incomplet le 28.

Juillet 2026, l'étude Zscaler. Le 2 juillet 2026, les chercheurs de ThreatLabz documentent deux campagnes réelles visant des agents IA. La première se fait passer pour la documentation d'une bibliothèque Python et réclame l'achat d'une clé de licence à 3 dollars (moins de 3 euros) payable en cryptomonnaie. Sur 26 modèles testés, 4 sont allés jusqu'au paiement : Llama 3.3 70B Instruct, Llama 3.2 90B Vision Instruct, Gemini 3 Flash et Gemini 2.5 Pro. La seconde campagne usurpait, par typosquattage, l'identité d'un service de suivi de portefeuille crypto.

Mars 2026, l'arène Gray Swan. C'est l'exercice le plus massif à ce jour. Pendant trois semaines, 464 participants ont soumis plus de 272 000 attaques contre 13 modèles de pointe, sur 41 scénarios d'agents réels, pour une dotation de 40 000 dollars (environ 34 000 euros). Résultat publié le 18 mars 2026 : 8 648 attaques réussies, et surtout un constat sans appel, aucun modèle n'était immunisé. Les trois tactiques les plus efficaces consistaient à injecter un faux raisonnement dans le fil de pensée du modèle (4,3 % de réussite), à lui demander de désactiver ses vérifications (4,1 %) et à jouer sur la récompense ou la punition (4,0 %).

Tous les modèles ne résistent pas de la même façon

Les écarts entre modèles sont considérables, et ils ne suivent pas le classement habituel des performances. Le tableau ci-dessous reprend les taux de réussite d'attaque (ASR) relevés dans l'arène Gray Swan, consolidés au 7 septembre 2026. Plus le chiffre est bas, plus le modèle résiste.

Deux précautions de lecture s'imposent. D'abord, les modèles n'ont pas tous été évalués à la même date ni dans les mêmes conditions, un modèle testé en 2024 n'a pas affronté les mêmes techniques qu'un modèle testé fin 2025. Ensuite, ces chiffres portent sur le modèle brut, pas sur le produit déployé avec ses filtres et ses confirmations.

Les éditeurs publient aussi leurs propres mesures, et il faut les lire pour ce qu'elles sont. Anthropic annonçait le 24 novembre 2025 un taux de réussite de 1 % pour son extension de navigation, face à un attaquant automatisé interne disposant de 100 tentatives par environnement. Il s'agit d'un test maison, non vérifié par un tiers indépendant, et l'entreprise reconnaît elle-même que 1 % reste « un risque significatif ». Google, de son côté, décrivait dès le 13 juin 2025 une défense en couches pour Gemini : classifieurs de contenu, rappels de sécurité insérés dans le contexte, nettoyage du Markdown, suppression des URL d'images externes et confirmation humaine avant les actions risquées.

Ce que ça change concrètement pour votre site web

Si votre site est lu par des agents IA, et c'est déjà le cas, il devient une surface d'attaque potentielle. L'étude Zscaler est très claire sur le mode opératoire des attaquants : empoisonnement SEO pour se placer dans les résultats, texte positionné hors écran en CSS (à gauche, à moins 9999 pixels), instructions glissées dans les données structurées JSON-LD et balises Open Graph détournées pour donner une apparence de légitimité.

Trois conséquences pratiques, très concrètes, pour un site d'entreprise.

• Vos contenus ouverts sont un vecteur : avis clients, commentaires de blog, questions sur une fiche produit, profils d'utilisateurs. Tout ce qu'un tiers peut écrire chez vous peut porter des instructions destinées à un agent qui lira la page ensuite.
• Le texte caché vous expose doublement : glisser des instructions invisibles à destination des IA, c'est du cloaking. Google le sanctionne, et c'est exactement la signature technique que les outils de sécurité cherchent désormais à détecter. Le risque n'est pas théorique, c'est une pénalité de référencement doublée d'une mise en cause en sécurité.
• L'achat automatisé change la donne : avec l'e-commerce agentique, un agent peut remplir un panier et valider un paiement. Un tunnel de commande qui accepte une action sans confirmation explicite devient une cible.

Chez Digital-m, nous auditons régulièrement des sites dont les modules d'avis et les espaces de commentaires acceptent du HTML brut sans aucun nettoyage. Dans la logique SEO d'il y a cinq ans, c'était au pire une porte ouverte au spam de liens. En 2026, avec des agents qui lisent ces pages et agissent ensuite, c'est devenu une question de sécurité. Le sujet rejoint d'ailleurs celui, plus large, des cyberattaques dopées à l'IA.

Sept réflexes pour limiter le risque en entreprise

Il n'existe aucune parade qui élimine le prompt injection, l'aveu d'OpenAI est sur ce point sans ambiguïté. En revanche, une série de mesures simples réduit fortement ce qu'une attaque réussie peut produire.

• Appliquez le moindre privilège : un agent qui résume vos e-mails n'a pas besoin du droit d'en envoyer. Séparez les accès en lecture et en écriture, systématiquement.
• Exigez une confirmation humaine : paiement, envoi de message, suppression de données, modification de droits. Toute action irréversible passe par un clic explicite de l'utilisateur.
• Isolez la session agentique : ne laissez pas un agent naviguer avec les cookies et les sessions authentifiées de votre navigateur quotidien. C'est la recommandation centrale de Brave après l'affaire Comet.
• Nettoyez vos entrées utilisateur : sur votre site, supprimez le HTML non autorisé, le CSS inline et les éléments masqués dans tout contenu soumis par un tiers.
• Journalisez les actions des agents : une attaque réussie se dissimule par construction. Sans trace d'exécution, vous ne saurez jamais qu'elle a eu lieu.
• Fournissez des références de confiance : Zscaler l'a mesuré, deux modèles se sont laissés tromper par un faux site uniquement parce qu'aucune URL officielle ne leur avait été donnée en comparaison.
• Formez vos équipes : un collaborateur qui comprend pourquoi un agent peut obéir à une page web ne lui confiera pas ses accès bancaires. C'est la mesure la moins coûteuse et la plus efficace.

Ces réflexes font partie du socle que nous transmettons dans nos formations GEO et IA certifiées Qualiopi, parce qu'on ne peut pas travailler sa visibilité dans les réponses génératives sans comprendre comment ces systèmes lisent, et se laissent parfois lire de travers.

Ce qu'il faut retenir

Le prompt injection n'est pas une faille de jeunesse que la prochaine version corrigera. Elle découle de la manière même dont un LLM traite le texte : un flux unique, sans frontière entre instruction et donnée. L'OWASP la classe première depuis trois éditions, OpenAI la juge probablement insoluble, et l'arène Gray Swan de mars 2026 confirme qu'aucun des 13 modèles testés n'atteint zéro, de 0,5 % pour Claude Opus 4.5 à 8,5 % pour Gemini 2.5 Pro.

Pour une PME, la bonne question n'est pas « quel modèle est sûr » mais « qu'est-ce que mon agent a le droit de faire tout seul ». Moindre privilège, confirmation humaine, isolation des sessions, nettoyage des contenus tiers : quatre mesures qui ne coûtent presque rien et qui transforment un incident potentiellement grave en simple anomalie de journal.

Votre site accepte des avis, des commentaires ou des contributions extérieures, et vous ne savez pas ce qu'un agent IA y lit réellement ? Demandez-nous un audit : nous passons vos pages au crible, côté référencement comme côté exposition aux agents, et nous vous rendons un plan d'action hiérarchisé.