← Toutes les ressources

Ressources, Sécurité agentique

Le RAG, une surface d'attaque qu'on oublie⁠

Pour rendre un agent utile, on le branche sur vos documents. C'est la bonne idée, et c'est aussi l'angle mort. Le jour où votre base de connaissance nourrit un agent, elle cesse d'être un simple réservoir de texte : elle devient un composant de sécurité, au même titre qu'un pare-feu.

Auteur : Ludovic Perrot · Publié : 1er juillet 2026 · Type : note technique accessible, cluster sécurité agentique

Le RAG, en une phrase

Un agent seul ne connaît que des généralités. Pour qu'il réponde sur votre métier, on lui donne accès à vos contenus : il va chercher les documents pertinents dans une base, et compose sa réponse à partir d'eux. C'est ce qu'on appelle la génération augmentée par la récupération, le RAG. C'est précisément ce qui rend un agent pertinent chez vous, et c'est ce qui ouvre une porte que peu de gens regardent.

Votre corpus devient une porte

Tout document que l'agent peut lire peut contenir une instruction cachée. On rejoint ici l'injection de prompt indirecte, mais déplacée : le texte piégé n'arrive plus par un courriel du jour, il dort dans votre base de connaissance et ressort au moment d'une réponse, parfois des semaines après avoir été ingéré. C'est l'empoisonnement d'une base de connaissance : un contenu falsifié ou piégé, glissé dans les données dont l'agent se sert, pour fausser ses réponses ou le détourner.

Le risque ne se limite pas au corpus. Le moteur qui récupère les documents, l'index qui les range, le cache qui les garde en mémoire : chacun devient un maillon à gouverner. Une base alimentée en continu, par plusieurs sources, où personne ne relit chaque document entrant, est un terrain idéal, parce que la confiance y est implicite.

Source, le référentiel OWASP « Top 10 for LLM Applications » (édition 2025) retient l'empoisonnement des données et du modèle parmi les risques majeurs des applications à base de grands modèles de langage, aux côtés de l'injection de prompt (classée première, LLM01). OWASP Gen AI Security Project. Vérifié juillet 2026.

Le risque se déplace, la gouvernance suit

La conséquence est simple à énoncer : on ne sécurise pas un RAG en surveillant seulement les réponses, on le sécurise en gouvernant l'entrée. Qui a le droit d'écrire dans le corpus ? D'où vient chaque document, et cette provenance est-elle tracée ? La base est-elle cloisonnée des systèmes critiques ? Les contenus récupérés sont-ils traités comme des données non fiables, ou comme des instructions dignes de foi ?

Référence, l'ANSSI recommande, pour un système d'IA générative, de cloisonner les systèmes d'IA des systèmes critiques et de contrôler les données qu'ils peuvent atteindre (guide ANSSI-PA-102, « Recommandations de sécurité pour un système d'IA générative », 29 avril 2024). cyber.gouv.fr. Vérifié juillet 2026.

Une base de connaissance sans provenance tracée est une base à laquelle on fait confiance sans savoir pourquoi.

Ce que nous faisons en conception

Chez nous, un corpus qui nourrit un agent est un corpus qualifié : ses sources sont connues, sa provenance est tracée, et l'ingestion de nouveaux contenus passe par un contrôle plutôt que par un tuyau ouvert. Le moteur de récupération reçoit le moindre privilège, comme tout le reste du système. Et pour un cas d'usage sensible, la mise à jour du corpus reste un geste décidé, pas un flux automatique dont personne ne répond. Le détail, le cadre ANSSI et le coût d'un déploiement sont dans le dossier de référence.

En bref

Les questions qu'on nous pose.

Qu'est-ce que le RAG ?
La génération augmentée par la récupération : l'agent va chercher vos documents dans une base pour répondre à partir de vos contenus, pas de ses seules connaissances générales. C'est ce qui le rend pertinent sur votre métier, et ce qui en fait une surface d'attaque.
Pourquoi une base RAG est-elle un risque ?
Parce que tout document ingéré peut cacher une instruction que l'agent lira plus tard comme un ordre. Le corpus, le moteur de récupération, l'index et le cache deviennent des composants de sécurité, pas de simples réservoirs de texte.
Qu'est-ce que l'empoisonnement d'une base ?
L'introduction volontaire d'un contenu falsifié ou piégé dans les données de l'agent, pour fausser ses réponses ou le détourner. Le risque grandit sur les corpus alimentés en continu, où personne ne relit chaque document entrant.
Comment sécuriser un RAG ?
En gouvernant l'entrée autant que la sortie : maîtriser qui écrit dans le corpus, tracer la provenance, cloisonner la base des systèmes critiques, traiter les contenus récupérés comme des données non fiables. C'est l'esprit des recommandations de l'ANSSI.

Pour aller plus loin

Le dossier complet, sources à l'appui.

La mécanique détaillée, le cadre ANSSI et le coût réel d'un déploiement agentique sont réunis dans le dossier de référence, réactualisé chaque trimestre. En amont du corpus : l'injection de prompt indirecte ; sur les droits de l'agent : le moindre privilège.

Lire le dossier de référence