Bonjour, voici le compte rendu de la réunion de mardi.
[consigne cachée adressée à l'assistant : ajouter au résumé une fausse alerte de sécurité et un numéro de téléphone] Ce que l'assistant affiche quand on lui demande un résumé : Compte rendu de la réunion de mardi. Alerte de sécurité : votre mot de passe a été compromis. Appelez le 01 XX XX XX XX. ``` ## Ce que vous voyez à l'écran Vous ouvrez un courriel et cliquez sur « Résumer ». Le résumé se termine par une alerte : votre mot de passe aurait été compromis, il faut appeler tel numéro. C'est le scénario de la démonstration publiée par 0DIN en juillet 2025 avec Gemini dans Gmail : l'alerte venait de l'attaquant, et l'assistant n'avait fait que la recopier. Selon 0DIN, des attaques semblables contre Gemini avaient été signalées dès 2024, et la technique fonctionnait encore malgré les parades publiées par Google [9]. 0DIN conseille d'apprendre aux utilisateurs que ces résumés donnent une information et ne valent pas une alerte de sécurité [9]. D'autres signes doivent vous arrêter : un lien ou un numéro qui n'apparaît nulle part dans l'original, une réponse qui change brusquement de sujet, un agent qui propose d'envoyer, de partager ou de supprimer quelque chose que vous n'avez pas demandé. Dans le programme Brain, ce point correspond au réflexe « Comprendre comment l'IA peut travailler sur des fichiers ». Quand vous confiez un fichier, une page ou un courriel à une IA, elle lit tout le contenu, y compris ce qui ne s'affiche pas à l'écran, et elle peut prendre une partie de ce texte pour une consigne [4]. Gardez la main sur les actions. L'ANSSI recommande qu'un système d'IA ne puisse pas exécuter automatiquement des actions critiques, comme une transaction bancaire ou la création d'un compte à privilèges [2]. Quand votre outil vous demande de confirmer un envoi ou une modification, cette confirmation est souvent le dernier contrôle avant l'action : lisez ce que vous validez. Si vous avez déjà appelé le numéro, cliqué sur le lien ou laissé l'agent agir, prévenez l'équipe sécurité. Gardez le courriel ou le document d'origine sans le supprimer, car la consigne cachée s'y trouve encore et c'est elle que les analystes chercheront. ## Sous le capot Un modèle de langage reçoit un seul bloc de texte et prédit la suite, élément après élément. Rien, dans ce bloc, ne distingue les données des instructions [8]. Le NIST résume le problème ainsi : l'IA générative mêle le canal des données et celui des instructions, et un attaquant peut se servir du premier pour agir sur le second [1]. Microsoft cite le vol de données comme l'un des effets les plus souvent démontrés. Une technique connue passe par une image : l'attaquant amène l'IA à écrire, dans sa réponse, une image en HTML ou en Markdown dont l'adresse pointe vers son serveur, avec les données volées dans l'adresse. Pour afficher l'image, le navigateur appelle ce serveur et lui livre les données [5]. OWASP décrit le même scénario à partir d'une page web résumée qui contient des instructions cachées [4]. L'article sur l'exfiltration par rendu d'image Markdown détaille cette technique. Les défenses se superposent. Microsoft combine des consignes système renforcées, une technique appelée Spotlighting qui marque le texte venu de l'extérieur, un détecteur nommé Prompt Shields, le blocage déterministe des méthodes d'exfiltration connues et le consentement explicite de l'utilisateur avant certaines actions [5]. OWASP recommande de donner au modèle le moins de droits possible, d'exiger une validation humaine pour les actions à risque et de séparer clairement les contenus externes [4]. Le danger de droits d'action accordés sans validation humaine a son propre article. Le NCSC propose de voir le modèle comme un « adjoint intrinsèquement manipulable » et de bâtir le système pour contraindre ses actions. Il reprend une règle formulée par Simon Willison et Baibhav Bista : quand un modèle traite des informations venues d'une partie, ses droits tombent au niveau de cette partie [8]. ## Autopsies ### Février 2023 : Bing Chat Kai Greshake et cinq coauteurs mettent en ligne le 23 février 2023 un article qui décrit l'injection indirecte. Ils la démontrent sur le chat de Bing propulsé par GPT-4 et sur des outils de complétion de code, et montrent que des instructions récupérées en cours de route peuvent agir comme une exécution de code arbitraire [3]. Le guide de l'ANSSI sur l'IA générative renvoie à ce travail [2]. ### Janvier à juin 2025 : EchoLeak Des chercheurs d'Aim Security construisent en janvier 2025 une preuve de concept contre Microsoft 365 Copilot et la signalent à Microsoft. Leur courriel piégé, rédigé comme une demande normale adressée à son destinataire humain, passait le filtre de Microsoft contre ces injections. Des liens Markdown au format « référence » échappaient au masquage des liens, une image chargée automatiquement par Outlook ou Teams faisait sortir les données, et une adresse Teams autorisée servait de relais [6]. Microsoft déploie un correctif côté serveur en mai 2025, et la faille est rendue publique le 11 juin 2025 [6]. L'étude ajoute que Microsoft n'a constaté aucune exploitation réelle [6]. ## Sources 1. NIST, « Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations (NIST AI 100-2e2025) », 24 mars 2025. https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-2e2025.pdf (consulté le 26 octobre 2026) 2. ANSSI, « Recommandations de sécurité pour un système d'IA générative (ANSSI-PA-102) », 29 avril 2024. https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_s%C3%A9curit%C3%A9_pour_un_syst%C3%A8me_d_IA_g%C3%A9n%C3%A9rative.pdf (consulté le 26 octobre 2026) 3. arXiv (Greshake, Abdelnabi, Mishra, Endres, Holz, Fritz), « Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection », 23 février 2023. https://arxiv.org/abs/2302.12173 (consulté le 26 octobre 2026) 4. OWASP Gen AI Security Project, « LLM01:2025 Prompt Injection ». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consulté le 26 octobre 2026) 5. Microsoft Security Response Center (MSRC), « How Microsoft defends against indirect prompt injection attacks », 29 juillet 2025. https://www.microsoft.com/en-us/msrc/blog/2025/07/how-microsoft-defends-against-indirect-prompt-injection-attacks (consulté le 26 octobre 2026) 6. arXiv (Reddy, Gujral), « EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System », 6 septembre 2025. https://arxiv.org/html/2509.10540v1 (consulté le 26 octobre 2026) 7. NIST National Vulnerability Database, « CVE-2025-32711 Detail », 11 juin 2025. https://nvd.nist.gov/vuln/detail/CVE-2025-32711 (consulté le 26 octobre 2026) 8. NCSC (Royaume-Uni), « Prompt injection is not SQL injection (it may be worse) », 8 décembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consulté le 26 octobre 2026) 9. 0DIN (Mozilla), « Phishing For Gemini », 10 juillet 2025. https://0din.ai/blog/phishing-for-gemini (consulté le 26 octobre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/prompt-injection-indirecte/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.