Les défenseurs utilisent désormais l’injection de prompts comme piège contre les attaques par IA
Tracebit a caché de courtes chaînes de texte dans de fausses ressources cloud afin de déclencher les propres règles de sécurité d’un modèle d’IA attaquant. Lors des tests, une seule chaîne a systématiquement empêché Claude Opus 4.8 d’obtenir un accès administrateur.
Dans les récits sur la sécurité de l’IA, l’injection de prompts joue généralement le rôle du méchant. Cette technique consiste à dissimuler dans un document, une page Web ou un e-mail un texte qui devient discrètement une instruction suivie par l’IA. Des chercheurs de l’entreprise de cybersécurité Tracebit viennent de retourner la même astuce contre les attaquants, avec des résultats étonnamment convaincants.
Le dispositif s’appuie sur un outil déjà utilisé par les défenseurs : les leurres. Un leurre est une fausse ressource cloud, par exemple un espace de stockage inutilisé ou de faux identifiants de connexion que personne de légitime n’a de raison de consulter. Si quelque chose y accède, vous savez qu’un intrus est entré. Tracebit y a ajouté une variante en cachant un court texte dans le leurre, baptisé « bombe contextuelle ». Lorsqu’un agent IA attaquant fouille le système et lit ce faux secret, le texte entre dans son contexte, la mémoire de travail dont il se sert pour décider de la suite. Il est rédigé de manière à déclencher les propres règles de sécurité du modèle, qui s’arrête au lieu de poursuivre.
Les chiffres des tests sont frappants. Tracebit a construit une imitation d’environnement cloud d’entreprise comportant dix points d’entrée distincts, puis lancé 152 tentatives avec des agents fondés sur Claude Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro et Kimi K2.6. Dans l’environnement sans piège, les agents atteignaient au moins un de leurs objectifs dans 91 % des essais. Avec une seule bombe contextuelle, ce taux tombait à 15 %. Opus 4.8 obtenait un accès administrateur complet dans 93 % des essais sans bombe et échouait à chaque fois dès qu’elle était présente. Gemini obtenait l’accès complet et maintenait durablement sa présence dans 60 % des essais sans bombe, puis échouait lui aussi face au piège. Et puisque chaque bombe déclenchée reste un leurre qui vient d’être lu, le défenseur reçoit une alerte au même moment.
Le contenu réel des chaînes est révélateur. Les chercheurs ont évité tout élément véritablement abject ainsi que les sujets liés à la cybersécurité. Ils ont constaté que les modèles occidentaux s’arrêtaient de manière fiable lorsque le texte abordait des sujets biologiques sensibles. Les modèles chinois, lorsqu’ils étaient utilisés par l’intermédiaire de fournisseurs chinois, s’arrêtaient face à des thèmes politiquement sensibles en Chine, rédigés en chinois. Autrement dit, la défense retourne l’entraînement à la sécurité du modèle contre lui-même et ne sera donc pas plus durable que cet entraînement. Tracebit reconnaît ne pas avoir testé les modèles dits « abliterated », dont les garde-fous ont été retirés. Rien ne permet donc encore de savoir si la méthode fonctionne contre eux.
Le contexte plus large compte également. Fin 2025, le National Cyber Security Centre britannique avertissait que l’injection de prompts ne serait peut-être jamais corrigée comme pouvaient l’être les anciennes vulnérabilités du Web, car les modèles de langage ne tracent pas de frontière nette entre données et instructions. La réponse de Tracebit consiste essentiellement à accepter cette réalité et à l’exploiter.
Ce que cela signifie pour vous : Il n’y a rien à installer aujourd’hui et cette technique s’adresse aux exploitants d’infrastructures, pas aux particuliers. Mais elle invite à changer de perspective : à mesure que les attaquants lancent davantage d’agents automatisés contre les systèmes, le fait de pouvoir convaincre ces agents de renoncer devient un atout défensif. Il faut toutefois garder des attentes réalistes. Cette méthode ralentit les attaquants et déclenche une alerte. C’est un fil-piège, pas un mur.
Sources
Un seul lien malveillant suffisait à créer un agent IA espionnant pour le compte d’un attaquant
Zenity Labs a montré comment un seul lien ChatGPT falsifié pouvait créer un agent autonome dans une entreprise, avec les autorisations d’un salarié et un contrôle de la boîte de réception de l’attaquant toutes les cinq minutes. OpenAI a corrigé la faille.
