Oui, et la porte d'entrée a un nom
On imagine le piratage d'une IA comme une attaque sophistiquée. La réalité est plus simple et plus dérangeante : la voie la plus courante s'appelle l'injection de prompt, et dans sa forme la plus redoutable, l'injection de prompt indirecte. Le principe tient en une phrase : une instruction malveillante est dissimulée dans un contenu que l'agent va traiter, un courriel, une page web, un document, une fiche produit, et l'agent, qui ne distingue pas naturellement un ordre légitime d'un ordre piégé, l'exécute comme s'il venait de vous.
Ce n'est pas une hypothèse de laboratoire. L'injection de prompt figure en tête des risques recensés pour les applications fondées sur les grands modèles de langage, et les autorités de cybersécurité, dont l'ANSSI en France, en ont fait un point d'attention explicite de leurs recommandations. Les sources datées et la mécanique détaillée sont tenues à jour dans notre dossier de référence sur la sécurité des systèmes agentiques.
Pourquoi un agent est plus exposé qu'un chatbot
Un chatbot parle. Si on le manipule, il produit une mauvaise réponse, désagréable mais sans conséquence directe. Un agent, lui, agit : il lit des données qu'il ne maîtrise pas, et il dispose de droits sur des outils, il peut envoyer un message, modifier un fichier, déclencher une commande, interroger une base. C'est ce qui fait sa valeur, et c'est exactement ce qui fait sa surface d'attaque. Le jour où une instruction cachée le détourne, le résultat n'est plus une phrase maladroite, c'est une action non voulue qui a de vrais effets dans vos systèmes.
Un chatbot manipulé dit une bêtise. Un agent manipulé en fait une.
Trois garde-fous qui changent presque tout
La sécurité d'un agent ne se rajoute pas à la fin, elle se conçoit dès l'architecture. Trois principes en forment la colonne. Le premier est de séparer ce qui fait autorité de ce qui ne la fait pas : les instructions de confiance d'un côté, les données extérieures non fiables de l'autre, pour que l'agent cesse de prendre n'importe quel texte lu pour un ordre. Le deuxième est le moindre privilège : on n'accorde à l'agent que les droits strictement nécessaires à sa tâche, jamais plus, afin qu'un détournement ne donne accès qu'à très peu. Le troisième est l'humain dans la boucle pour les actions qui engagent : une validation reste requise avant tout geste sensible, et tout est journalisé.
Ces trois principes sont l'exact contraire de l'agent qu'on lâche en autonomie. C'est le sens de notre position : nous concevons des systèmes agentiques gouvernés, pas autonomes. Un agent qui décide seul d'agir sur vos outils est un risque ; un agent dont les droits, les frontières et les points de contrôle sont pensés est un outil. La différence entre les deux n'est pas un produit de sécurité qu'on achète, c'est une manière de concevoir.
Pour creuser chacun de ces points : pourquoi aucun filtre ne suffit contre l'injection indirecte, le RAG comme surface d'attaque, et le moindre privilège des agents. L'autre face de la gouvernance, elle, est économique : le coût caché des boucles agentiques.