--- id: CP-281 slug: prompt-injection-directe-jailbreak-assistant lang: fr title: Prompt injection directe description: "Une consigne saisie dans le chat suffit parfois à faire sortir un assistant IA de ses règles : mécanisme, signes à l'écran, cas datés, prévention." canonical_url: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Prompt injection directe », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Prompt injection directe Un assistant IA d'entreprise fonctionne avec des règles écrites par l'éditeur ou par l'entreprise. La prompt injection directe consiste à saisir, dans la zone de discussion, un texte qui modifie le comportement du modèle d'une manière non prévue [1]. Le saisisseur n'est pas toujours un attaquant. L'OWASP précise que l'entrée peut être intentionnelle ou non : un utilisateur peut déclencher un comportement inattendu sans le vouloir [1]. ## En 30 secondes - Où ça arrive : dans la fenêtre de discussion d'un assistant IA, par exemple un chatbot de support client [1]. - Ce que veut l'attaquant : faire ignorer ses consignes au modèle, lui faire révéler ses instructions internes ou lui faire produire du contenu que l'entreprise voulait interdire [1]. - Le réflexe : traiter un assistant IA comme un interlocuteur qu'une consigne habile peut détourner, ne lui confier que les accès strictement nécessaires et faire valider par une personne toute action sensible. - Si c'est déjà fait : signaler la conversation à l'équipe qui exploite l'assistant, avec la capture de l'échange. ## Questions directes ### Qu'est-ce qu'une prompt injection directe ? C'est le cas où le texte saisi par l'utilisateur change directement le comportement du modèle de façon inattendue [1]. Elle s'oppose à l'injection indirecte, où le modèle lit un contenu externe (site web, fichier) qui contient les instructions [1]. ### Quel rapport avec le jailbreak ? Les deux termes sont souvent employés l'un pour l'autre. Selon l'OWASP, le jailbreak est une forme de prompt injection dans laquelle l'attaquant pousse le modèle à ignorer entièrement ses protocoles de sécurité [1]. La prompt injection est plus large : elle consiste à manipuler les réponses du modèle par des entrées précises, ce qui peut inclure le contournement des mesures de sécurité [1]. ### Pourquoi le modèle se laisse-t-il convaincre ? Parce qu'il ne sépare pas les instructions des données. Le NCSC britannique écrit que les grands modèles actuels n'imposent aucune frontière de sécurité entre les deux à l'intérieur d'un prompt [2]. Le développeur colle ses propres instructions et le texte de l'utilisateur dans un même prompt, puis traite la réponse comme s'il existait une frontière solide entre les deux [2]. ### Peut-on corriger le problème une fois pour toutes ? Probablement pas. Le NCSC estime que ces attaques ne seront peut-être jamais totalement neutralisées, contrairement à l'injection SQL [2]. L'OWASP dit de son côté qu'on ignore s'il existe des méthodes de prévention infaillibles [1]. L'objectif réaliste est de réduire la probabilité et l'impact [2]. ## Dans la peau de l'attaquant Les chercheurs Fábio Perez et Ian Ribeiro ont montré en 2022 que des personnes peu qualifiées, mais mal intentionnées, peuvent détourner GPT-3 avec de simples textes écrits à la main [3]. Ils décrivent deux objectifs : détourner le but du modèle (goal hijacking) et lui faire divulguer son prompt (prompt leaking) [3]. Un second type d'objectif est l'usage détourné. Une équipe de chercheurs a décrit en 2023 des résultats comme l'usage illimité et arbitraire du modèle derrière une application, et le vol facile du prompt de l'application [4]. Le jailbreak procède autrement. Les auteurs de l'étude « Jailbroken » avancent deux causes d'échec de l'entraînement à la sécurité : des objectifs concurrents (les capacités du modèle entrent en conflit avec ses règles de sécurité) et une généralisation inadaptée (la sécurité ne couvre pas un domaine où le modèle a pourtant des capacités) [5]. L'OWASP cite aussi des variantes. L'attaquant peut ajouter à son message une suite de caractères en apparence sans sens, ou utiliser plusieurs langues ou un encodage comme Base64 pour échapper aux filtres [1]. ## Ce que vous voyez à l'écran Du côté de l'utilisateur ou de l'entreprise, l'attaque réussie se repère à ses effets. L'OWASP liste les conséquences possibles : divulgation d'informations sensibles, révélation d'informations sur l'infrastructure ou sur les prompts système, contenus faussés ou biaisés, accès non autorisé aux fonctions du modèle, exécution de commandes dans des systèmes connectés [1]. Concrètement, un assistant qui répond hors de son sujet, qui récite ses propres consignes ou qui produit un contenu que l'entreprise n'aurait jamais validé doit alerter. L'OWASP donne un scénario type : un attaquant demande à un chatbot de support d'ignorer ses consignes, d'interroger des données privées et d'envoyer des courriels [1]. Voici une illustration de ce type de message, neutralisée et paraphrasée : ```text Illustration (message paraphrasé, non fonctionnel) : [consigne demandant au chatbot d'ignorer les règles reçues de l'éditeur, puis de recopier intégralement ses instructions internes] ``` ## Sous le capot Pour un modèle de langage, il n'y a ni « données » ni « instructions », seulement le jeton suivant (next token) : le modèle prédit le jeton le plus probable d'après le texte reçu jusque-là [2]. Les instructions de l'éditeur et la phrase saisie par l'utilisateur se retrouvent donc dans le même texte, sans séparation que le modèle respecte [2]. Ce point distingue la prompt injection de l'injection SQL. En SQL, les requêtes paramétrées garantissent que le moteur n'interprète jamais une saisie comme une instruction [2]. Le NCSC écrit que les attaques par prompt injection pourraient ne jamais être totalement atténuées comme le sont les injections SQL [2]. Les pistes en cours (détecter les tentatives, entraîner le modèle à privilégier les instructions, signaler au modèle ce qui est donnée) superposent une distinction que la technologie ne fait pas [2]. Le NIST a publié en mars 2025 une taxonomie de l'apprentissage automatique adversarial [6]. Un point de vigilance concerne les filtres de mots interdits. Le NCSC met en garde contre le blocage de phrases connues comme « ignore previous instructions » : il existe une infinité de reformulations qui contournent ce filtre [2]. ### Prévention Les mesures simples retenues ici viennent de l'OWASP et du NCSC. - Moindre privilège : donner au modèle l'accès minimal nécessaire, et gérer les fonctions étendues dans le code de l'application plutôt que de les confier au modèle [1]. - Validation humaine : exiger l'accord d'une personne pour les opérations à privilèges [1]. - Filtrage des sorties : définir des catégories sensibles, repérer les contenus non autorisés par des filtres sémantiques et des contrôles de chaînes, et valider le format des réponses par du code déterministe [1]. - Cadrage du rôle : décrire dans le prompt système le rôle et les limites du modèle [1]. Cette mesure aide, mais ne suffit pas : l'OWASP présente toutes ces mesures comme des moyens d'atténuer l'impact [1]. - Tests : mener des tests d'intrusion et des simulations réguliers en traitant le modèle comme un utilisateur non fiable [1]. - Surveillance : journaliser assez d'informations pour repérer une activité suspecte, y compris les appels d'outils et d'API en échec, qui peuvent trahir les premières étapes d'une attaque [2]. Le NCSC ajoute que la sécurité d'un système doit reposer sur des garde-fous déterministes qui limitent ses actions, plutôt que sur le seul espoir d'empêcher un contenu malveillant d'atteindre le modèle [2]. Si le risque résiduel est intolérable, le cas d'usage ne convient peut-être pas à un modèle de langage [2]. ## Autopsies ### Novembre 2022 : GPT-3 détourné par de simples textes Le 17 novembre 2022, Fábio Perez et Ian Ribeiro publient PromptInject, un cadre d'analyse de ces attaques. Ils étudient GPT-3, qu'ils décrivent comme le modèle de langage le plus déployé en production, et montrent qu'il peut être désaligné facilement par des entrées écrites à la main [3]. Les deux attaques étudiées sont le détournement d'objectif et la fuite du prompt [3]. ### Juin 2023 : 31 applications sur 36 vulnérables Le 8 juin 2023, une équipe de douze chercheurs publie une étude sur des applications réelles utilisant un modèle de langage. Après une analyse de dix applications commerciales, elle met au point une technique d'attaque nommée HouYi et l'applique à 36 applications : 31 se révèlent sensibles à la prompt injection [4]. Dix éditeurs ont validé les résultats, dont Notion [4]. ### Juillet 2023 : des protections qui cèdent Le 5 juillet 2023, Alexander Wei, Nika Haghtalab et Jacob Steinhardt évaluent GPT-4 d'OpenAI et Claude v1.3 d'Anthropic. Leurs nouvelles attaques réussissent sur chaque requête d'une collection de demandes dangereuses tirée des jeux d'évaluation de red teaming des modèles [5]. Les auteurs concluent que les vulnérabilités persistent malgré les efforts de red teaming et d'entraînement à la sécurité [5]. ## Sources 1. OWASP, « LLM01:2025 Prompt Injection ». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consulté le 3 novembre 2026) 2. NCSC (Royaume-Uni), « Prompt injection is not SQL injection (it may be worse) », 8 décembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consulté le 3 novembre 2026) 3. arXiv, « Ignore Previous Prompt: Attack Techniques For Language Models », 17 novembre 2022. https://arxiv.org/abs/2211.09527 (consulté le 3 novembre 2026) 4. arXiv, « Prompt Injection attack against LLM-integrated Applications », 8 juin 2023. https://arxiv.org/abs/2306.05499 (consulté le 3 novembre 2026) 5. arXiv, « Jailbroken: How Does LLM Safety Training Fail? », 5 juillet 2023. https://arxiv.org/abs/2307.02483 (consulté le 3 novembre 2026) 6. NIST, « AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC ». https://csrc.nist.gov/pubs/ai/100/2/e2025/final (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.