Cyberpediapar Brain
FRDEEN

La tokenisation des LLM

Un modèle de langage lit des fragments de texte, pas des phrases. Ce que cela change pour un salarié, et les pièges de sécurité.

En 30 secondes

Où ça arrive
Chaque fois que vous collez un texte, un nom ou un document dans un assistant d'IA, ou que vous lui demandez de résumer une page.
Ce que veut l'attaquant
Faire lire au modèle des instructions que vous ne voyez pas, car une injection de consigne peut être imperceptible pour un humain2.
Le réflexe
Formuler des consignes précises, vérifier chiffres et citations à la source, et ne jamais coller de données sensibles dans un outil non validé.
Si c'est déjà fait
Prévenez votre équipe sécurité en indiquant l'outil utilisé et la nature des données collées.

De quoi parle-t-on

Quand on écrit à un assistant d'IA, on a l'impression qu'il lit des phrases comme un collègue. Les travaux de recherche sur lesquels cette fiche s'appuie décrivent un autre fonctionnement : les mots rares sont codés comme des suites d'unités plus petites que le mot, que l'on appelle ici des fragments (ou tokens)1.

Cette fiche explique l'idée en termes simples, puis ce que le salarié peut en tirer pour formuler ses demandes, contrôler les réponses et éviter quelques pièges de sécurité. Les sources du dossier décrivent le découpage et les attaques par texte déroutant. Elles ne mesurent ni le coût d'un échange ni la taille de la fenêtre de contexte d'un produit donné : ces points ne sont donc pas traités ici.

Questions directes

Un modèle de langage lit-il les mots tels que nous les écrivons ?

Pas tels quels. Des chercheurs ont décrit en 2015, pour la traduction automatique, des modèles qui travaillent avec un vocabulaire fixe, alors que traduire est un problème de vocabulaire ouvert1. Leur solution consiste à coder les mots rares ou inconnus comme des suites d'unités plus petites que le mot1.

Comment le texte est-il découpé ?

Les auteurs de 2015 comparent plusieurs techniques de segmentation, dont des modèles simples de séquences de caractères et une segmentation fondée sur l'algorithme de compression « byte pair encoding »1. Ils mesurent un gain de 1,1 point de BLEU pour l'anglais vers l'allemand et de 1,3 pour l'anglais vers le russe, par rapport à une méthode de repli sur dictionnaire1.

Cela dépend-il de la langue ?

L'outil SentencePiece, présenté en 2018 par Taku Kudo et John Richardson, se décrit comme un découpeur de sous-unités indépendant de la langue3. Il apprend ses unités directement à partir de phrases brutes, là où les outils existants supposaient un texte déjà découpé en mots3. Il est publié en open source sous licence Apache 23. Les sources citées ici ne mesurent pas dans quelle mesure une langue est moins bien servie qu'une autre : cette question reste ouverte ici.

Pourquoi un nom rare ou un mot inventé pose-t-il problème ?

L'intuition de l'article de 2015 est que les noms propres, les mots composés et les mots empruntés se traduisent mieux par morceaux que par mots entiers1. Les mots rares sont codés en sous-unités1. Le lien avec les fautes sur les noms rares est une lecture de cette fiche, pas un résultat mesuré dans les sources.

Les modèles ont-ils des limites connues ?

Le modèle GPT-3, présenté en 2020 avec 175 milliards de paramètres, reçoit ses tâches et ses exemples uniquement par texte4. Ses auteurs relèvent qu'il réussit des tâches comme remettre des mots en ordre ou faire des additions à trois chiffres, mais aussi qu'il reste en difficulté sur certains jeux de données4. Un résultat correct une fois ne garantit donc pas un résultat correct la fois suivante.

1Comment ça marche1 min

Les sources donnent le principe suivant. Le modèle travaille avec un vocabulaire de taille fixe1. Les mots rares sont reconstitués à partir de plusieurs unités1. L'outil de découpage peut être entraîné sur du texte brut, sans découpage préalable en mots3.

Les consignes passent par le même canal que les données. Dans l'étude sur GPT-3, les tâches et les exemples sont « specified purely via text interaction with the model »4. Selon l'OWASP, l'injection de consigne désigne des entrées qui modifient le comportement du modèle de façon non prévue, même si elles sont imperceptibles pour un humain, dès lors que le modèle les lit2. Rapprocher les deux points est une lecture de cette fiche, pas une affirmation de l'OWASP.

2Ce que vous faites2 min

Formuler des consignes claires. Indiquez le rôle attendu, la tâche et le format de la réponse. L'OWASP recommande aux concepteurs de systèmes de préciser le rôle, les capacités et les limites du modèle, et de définir un format de sortie clair2. Le salarié peut en reprendre l'esprit dans ses demandes.

Demander des sources, puis les vérifier. L'OWASP conseille de demander un raisonnement détaillé et des citations de sources, tout en validant le résultat par du code déterministe2. Pour un salarié, cela se traduit par un contrôle manuel : ouvrir la source citée, relire le chiffre, vérifier que la citation existe mot pour mot. Les auteurs de GPT-3 signalent eux-mêmes des jeux de données où le modèle reste en difficulté4.

Garder la main sur les actions importantes. L'OWASP recommande une validation humaine pour les opérations à privilèges, afin d'empêcher les actions non autorisées2. Ne laissez pas un assistant envoyer un message ou modifier un fichier sans relecture.

Ne pas coller de données sensibles. L'OWASP range la divulgation d'informations sensibles parmi les conséquences possibles d'une injection de consigne2. Le NCSC britannique vise des systèmes d'IA qui fonctionnent sans révéler de données sensibles à des tiers non autorisés5. En entreprise, appliquez la règle de votre organisation sur les outils autorisés.

Séparer le contenu externe de vos consignes. Quand l'assistant résume une page web ou un fichier reçu, ce contenu peut contenir des instructions cachées2. L'OWASP conseille de séparer et de signaler clairement le contenu non fiable2.

3Les pièges2 min

Le texte invisible ou déroutant. Selon l'OWASP, une injection de consigne n'a pas besoin d'être lisible par un humain, tant que le contenu est lu par le modèle2. Dans un scénario qu'il décrit, un utilisateur fait résumer une page web contenant des instructions cachées : le modèle insère une image liée à une adresse, et la conversation privée est exfiltrée2.

Les chaînes de caractères sans sens. L'OWASP décrit un attaquant qui ajoute à une demande une suite de caractères d'apparence absurde. Cette suite influence la réponse et contourne les protections2. La recherche en donne une version automatisée : un suffixe adversarial trouvé par des techniques de recherche gloutonnes et fondées sur le gradient6.

Les langues mêlées et les encodages. L'OWASP cite aussi l'attaquant qui emploie plusieurs langues ou encode ses instructions, par exemple en Base64 ou avec des émojis, pour échapper aux filtres2.

Les fichiers piégés. Dans un autre scénario de l'OWASP, un CV contient des consignes fragmentées. Quand un modèle évalue la candidature, les morceaux se combinent et produisent une recommandation positive malgré le contenu réel du CV2. Dans un troisième, un document modifié dans un dépôt utilisé par une application de génération augmentée par récupération fausse les résultats2.

Les protections imparfaites. L'OWASP précise que la génération augmentée par récupération et le réglage fin ne suppriment pas entièrement les injections de consigne2. Il juge aussi incertain qu'une méthode de prévention infaillible existe2. Le NCSC rappelle que les systèmes d'IA ont des vulnérabilités nouvelles, à traiter en plus des menaces classiques5. Le NIST a publié en janvier 2024 une taxonomie des attaques sur l'apprentissage automatique, avec un glossaire destiné aux lecteurs non experts7.

4Cas réels1 min

Juillet 2023 : un suffixe qui fonctionne sur plusieurs assistants

Le 27 juillet 2023, Andy Zou et ses coauteurs, dont Nicholas Carlini, soumettent une méthode qui produit automatiquement un suffixe à ajouter à une demande6. Ce suffixe vise à maximiser la probabilité que le modèle réponde de façon affirmative plutôt que de refuser6. Entraîné sur plusieurs requêtes et sur deux modèles (Vicuna-7B et 13B), il provoque aussi des contenus indésirables dans les interfaces publiques de ChatGPT, Bard et Claude, ainsi que dans des modèles ouverts comme LLaMA-2-Chat, Pythia et Falcon6.

Fiche

Identifiant
CP-258
Aile
4. Intelligence artificielle
Compétence Brain
Comprendre l'IA (understand_ai)
Réflexe Brain
air-005
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. arXiv, « Neural Machine Translation of Rare Words with Subword Units », 31 août 2015. https://arxiv.org/abs/1508.07909 (consulté le 3 novembre 2026)
  2. OWASP, « LLM01:2025 Prompt Injection », 10 avril 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consulté le 3 novembre 2026)
  3. arXiv, « SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing », 19 août 2018. https://arxiv.org/abs/1808.06226 (consulté le 3 novembre 2026)
  4. arXiv, « Language Models are Few-Shot Learners », 28 mai 2020. https://arxiv.org/abs/2005.14165 (consulté le 3 novembre 2026)
  5. NCSC (Royaume-Uni), « Guidelines for secure AI system development », 27 novembre 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consulté le 3 novembre 2026)
  6. arXiv, « Universal and Transferable Adversarial Attacks on Aligned Language Models », 27 juillet 2023. https://arxiv.org/abs/2307.15043 (consulté le 3 novembre 2026)
  7. NIST, « Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations ». https://csrc.nist.gov/pubs/ai/100/2/e2023/final (consulté le 3 novembre 2026)

Citer cet article

Brain, « La tokenisation des LLM », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/

BibTeX 
@misc{brain_cp258_fr_2026,
  author = {Brain},
  title = {La tokenisation des LLM},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/tokenisation-llm-fragments/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0