L’injection de prompt ne se guérit pas par des filtres : comment isoler le texte non fiable avec des motifs architecturaux

L'injection de prompt est une vulnérabilité où un texte non fiable (par exemple, depuis une page web ou un e-mail) s'introduit dans le contexte d'un LLM et commence à s'exécuter comme une instruction, entraînant le vol de données ou des actions non autorisées. Ce n'est pas un jailbreak : l'attaquant est une autre personne, et la victime est l'utilisateur qui a simplement demandé à traiter le contenu. Les protections classiques — un prompt système du type « ignore les instructions extérieures » et des classificateurs en entrée — ne fonctionnent pas en raison de la diversité infinie des attaques et de la non-déterminisme des modèles. La recherche « The Attacker Moves Second » (2025) a montré que 12 protections publiées sont contournées dans plus de 90 % des cas lors d'attaques adaptatives ; une session de red team en direct a contourné 100 % d'entre elles. La vulnérabilité s'explique par le « trio mortel » : données privées + contenu non fiable + canal vers l'extérieur. Un exemple est EchoLeak (CVE-2025-32711) contre Microsoft 365 Copilot : un exploit zero-click via un e-mail contournait les classificateurs, les filtres de liens, les CSP et le RAG. Meta a proposé la « règle des deux » : un agent ne doit pas à la fois avoir accès aux données, traiter des entrées non fiables et modifier l'état ou communiquer avec le monde extérieur. Le modèle Dual-LLM répartit les fonctions sur deux modèles : le modèle privilégié (avec outils) ne voit pas le texte non fiable, le modèle isolé (avec le texte) n'a pas d'outils ; le code contrôleur ne transmet que des variables symboliques. Google DeepMind a proposé CaMeL (Confidential Multi-Agent LLM) — un système avec chiffrement au niveau RBAC (contrôle d'accès basé sur les rôles), où chaque agent reçoit uniquement les rôles nécessaires, et les données non fiables sont marquées et invisibles pour les agents privilégiés. En 2025, six modèles de conception ont été publiés, systématisant l'isolation en fonction de la tâche. Une implémentation fonctionnelle sur trois modèles qui ne se voient pas entre eux, avec des vérifications déterministes, est analysée à l'aide de l'exemple d'un générateur de FAQ qui lit une page externe mais ne lui obéit pas.