--- id: CP-258 slug: tokenisation-llm-fragments lang: fr title: La tokenisation des LLM description: Un modèle de langage lit des fragments de texte, pas des phrases. Ce que cela change pour un salarié, et les pièges de sécurité. canonical_url: https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « La tokenisation des LLM », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/ (CC BY 4.0) wing: 4 theme: understand_ai reflex: air-005 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/ en: https://startbrain.io/cyberpedia/en/articles/llm-tokenization-explained/ de: https://startbrain.io/cyberpedia/de/articles/tokenisierung-llm-textfragmente/ es: https://startbrain.io/cyberpedia/es/articles/tokenizacion-llm-fragmentos/ sources: - "n": 1 title: Neural Machine Translation of Rare Words with Subword Units publisher: arXiv url: https://arxiv.org/abs/1508.07909 published: "2015-08-31" accessed: "2026-11-03" - "n": 2 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ published: "2024-04-10" accessed: "2026-11-03" - "n": 3 title: "SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing" publisher: arXiv url: https://arxiv.org/abs/1808.06226 published: "2018-08-19" accessed: "2026-11-03" - "n": 4 title: Language Models are Few-Shot Learners publisher: arXiv url: https://arxiv.org/abs/2005.14165 published: "2020-05-28" accessed: "2026-11-03" - "n": 5 title: Guidelines for secure AI system development publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development published: "2023-11-27" accessed: "2026-11-03" - "n": 6 title: Universal and Transferable Adversarial Attacks on Aligned Language Models publisher: arXiv url: https://arxiv.org/abs/2307.15043 published: "2023-07-27" accessed: "2026-11-03" - "n": 7 title: "Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2023/final accessed: "2026-11-03" --- # La tokenisation des LLM Quand on écrit à un assistant d'IA, on a l'impression qu'il lit des phrases comme un collègue. Les travaux de recherche sur lesquels cette fiche s'appuie décrivent un autre fonctionnement : les mots rares sont codés comme des suites d'unités plus petites que le mot, que l'on appelle ici des fragments (ou tokens) [1]. Cette fiche explique l'idée en termes simples, puis ce que le salarié peut en tirer pour formuler ses demandes, contrôler les réponses et éviter quelques pièges de sécurité. Les sources du dossier décrivent le découpage et les attaques par texte déroutant. Elles ne mesurent ni le coût d'un échange ni la taille de la fenêtre de contexte d'un produit donné : ces points ne sont donc pas traités ici. ## En 30 secondes - Où ça arrive : chaque fois que vous collez un texte, un nom ou un document dans un assistant d'IA, ou que vous lui demandez de résumer une page. - Ce que veut l'attaquant : faire lire au modèle des instructions que vous ne voyez pas, car une injection de consigne peut être imperceptible pour un humain [2]. - Le réflexe : formuler des consignes précises, vérifier chiffres et citations à la source, et ne jamais coller de données sensibles dans un outil non validé. - Si c'est déjà fait : prévenez votre équipe sécurité en indiquant l'outil utilisé et la nature des données collées. ## Questions directes ### Un modèle de langage lit-il les mots tels que nous les écrivons ? Pas tels quels. Des chercheurs ont décrit en 2015, pour la traduction automatique, des modèles qui travaillent avec un vocabulaire fixe, alors que traduire est un problème de vocabulaire ouvert [1]. Leur solution consiste à coder les mots rares ou inconnus comme des suites d'unités plus petites que le mot [1]. ### Comment le texte est-il découpé ? Les auteurs de 2015 comparent plusieurs techniques de segmentation, dont des modèles simples de séquences de caractères et une segmentation fondée sur l'algorithme de compression « byte pair encoding » [1]. Ils mesurent un gain de 1,1 point de BLEU pour l'anglais vers l'allemand et de 1,3 pour l'anglais vers le russe, par rapport à une méthode de repli sur dictionnaire [1]. ### Cela dépend-il de la langue ? L'outil SentencePiece, présenté en 2018 par Taku Kudo et John Richardson, se décrit comme un découpeur de sous-unités indépendant de la langue [3]. Il apprend ses unités directement à partir de phrases brutes, là où les outils existants supposaient un texte déjà découpé en mots [3]. Il est publié en open source sous licence Apache 2 [3]. Les sources citées ici ne mesurent pas dans quelle mesure une langue est moins bien servie qu'une autre : cette question reste ouverte ici. ### Pourquoi un nom rare ou un mot inventé pose-t-il problème ? L'intuition de l'article de 2015 est que les noms propres, les mots composés et les mots empruntés se traduisent mieux par morceaux que par mots entiers [1]. Les mots rares sont codés en sous-unités [1]. Le lien avec les fautes sur les noms rares est une lecture de cette fiche, pas un résultat mesuré dans les sources. ### Les modèles ont-ils des limites connues ? Le modèle GPT-3, présenté en 2020 avec 175 milliards de paramètres, reçoit ses tâches et ses exemples uniquement par texte [4]. Ses auteurs relèvent qu'il réussit des tâches comme remettre des mots en ordre ou faire des additions à trois chiffres, mais aussi qu'il reste en difficulté sur certains jeux de données [4]. Un résultat correct une fois ne garantit donc pas un résultat correct la fois suivante. ## Comment ça marche Les sources donnent le principe suivant. Le modèle travaille avec un vocabulaire de taille fixe [1]. Les mots rares sont reconstitués à partir de plusieurs unités [1]. L'outil de découpage peut être entraîné sur du texte brut, sans découpage préalable en mots [3]. Les consignes passent par le même canal que les données. Dans l'étude sur GPT-3, les tâches et les exemples sont « specified purely via text interaction with the model » [4]. Selon l'OWASP, l'injection de consigne désigne des entrées qui modifient le comportement du modèle de façon non prévue, même si elles sont imperceptibles pour un humain, dès lors que le modèle les lit [2]. Rapprocher les deux points est une lecture de cette fiche, pas une affirmation de l'OWASP. ## Ce que vous faites Formuler des consignes claires. Indiquez le rôle attendu, la tâche et le format de la réponse. L'OWASP recommande aux concepteurs de systèmes de préciser le rôle, les capacités et les limites du modèle, et de définir un format de sortie clair [2]. Le salarié peut en reprendre l'esprit dans ses demandes. Demander des sources, puis les vérifier. L'OWASP conseille de demander un raisonnement détaillé et des citations de sources, tout en validant le résultat par du code déterministe [2]. Pour un salarié, cela se traduit par un contrôle manuel : ouvrir la source citée, relire le chiffre, vérifier que la citation existe mot pour mot. Les auteurs de GPT-3 signalent eux-mêmes des jeux de données où le modèle reste en difficulté [4]. Garder la main sur les actions importantes. L'OWASP recommande une validation humaine pour les opérations à privilèges, afin d'empêcher les actions non autorisées [2]. Ne laissez pas un assistant envoyer un message ou modifier un fichier sans relecture. Ne pas coller de données sensibles. L'OWASP range la divulgation d'informations sensibles parmi les conséquences possibles d'une injection de consigne [2]. Le NCSC britannique vise des systèmes d'IA qui fonctionnent sans révéler de données sensibles à des tiers non autorisés [5]. En entreprise, appliquez la règle de votre organisation sur les outils autorisés. Séparer le contenu externe de vos consignes. Quand l'assistant résume une page web ou un fichier reçu, ce contenu peut contenir des instructions cachées [2]. L'OWASP conseille de séparer et de signaler clairement le contenu non fiable [2]. ## Les pièges Le texte invisible ou déroutant. Selon l'OWASP, une injection de consigne n'a pas besoin d'être lisible par un humain, tant que le contenu est lu par le modèle [2]. Dans un scénario qu'il décrit, un utilisateur fait résumer une page web contenant des instructions cachées : le modèle insère une image liée à une adresse, et la conversation privée est exfiltrée [2]. Les chaînes de caractères sans sens. L'OWASP décrit un attaquant qui ajoute à une demande une suite de caractères d'apparence absurde. Cette suite influence la réponse et contourne les protections [2]. La recherche en donne une version automatisée : un suffixe adversarial trouvé par des techniques de recherche gloutonnes et fondées sur le gradient [6]. Les langues mêlées et les encodages. L'OWASP cite aussi l'attaquant qui emploie plusieurs langues ou encode ses instructions, par exemple en Base64 ou avec des émojis, pour échapper aux filtres [2]. Les fichiers piégés. Dans un autre scénario de l'OWASP, un CV contient des consignes fragmentées. Quand un modèle évalue la candidature, les morceaux se combinent et produisent une recommandation positive malgré le contenu réel du CV [2]. Dans un troisième, un document modifié dans un dépôt utilisé par une application de génération augmentée par récupération fausse les résultats [2]. Les protections imparfaites. L'OWASP précise que la génération augmentée par récupération et le réglage fin ne suppriment pas entièrement les injections de consigne [2]. Il juge aussi incertain qu'une méthode de prévention infaillible existe [2]. Le NCSC rappelle que les systèmes d'IA ont des vulnérabilités nouvelles, à traiter en plus des menaces classiques [5]. Le NIST a publié en janvier 2024 une taxonomie des attaques sur l'apprentissage automatique, avec un glossaire destiné aux lecteurs non experts [7]. ## Cas réels ### Juillet 2023 : un suffixe qui fonctionne sur plusieurs assistants Le 27 juillet 2023, Andy Zou et ses coauteurs, dont Nicholas Carlini, soumettent une méthode qui produit automatiquement un suffixe à ajouter à une demande [6]. Ce suffixe vise à maximiser la probabilité que le modèle réponde de façon affirmative plutôt que de refuser [6]. Entraîné sur plusieurs requêtes et sur deux modèles (Vicuna-7B et 13B), il provoque aussi des contenus indésirables dans les interfaces publiques de ChatGPT, Bard et Claude, ainsi que dans des modèles ouverts comme LLaMA-2-Chat, Pythia et Falcon [6]. ## Sources 1. arXiv, « Neural Machine Translation of Rare Words with Subword Units », 31 août 2015. https://arxiv.org/abs/1508.07909 (consulté le 3 novembre 2026) 2. OWASP, « LLM01:2025 Prompt Injection », 10 avril 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consulté le 3 novembre 2026) 3. arXiv, « SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing », 19 août 2018. https://arxiv.org/abs/1808.06226 (consulté le 3 novembre 2026) 4. arXiv, « Language Models are Few-Shot Learners », 28 mai 2020. https://arxiv.org/abs/2005.14165 (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Guidelines for secure AI system development », 27 novembre 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consulté le 3 novembre 2026) 6. arXiv, « Universal and Transferable Adversarial Attacks on Aligned Language Models », 27 juillet 2023. https://arxiv.org/abs/2307.15043 (consulté le 3 novembre 2026) 7. NIST, « Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations ». https://csrc.nist.gov/pubs/ai/100/2/e2023/final (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.