Un assistant IA pourrait divulguer des données sensibles de l’entreprise en se contentant de lire un e-mail malveillant, d’ouvrir un PDF ou de traiter une invitation de calendrier.
C’est le danger qui se cache derrière les attaques par injection indirecte de prompts : elles permettent à des acteurs malveillants de dissimuler des instructions malveillantes dans des contenus apparemment inoffensifs que les systèmes d’IA rencontrent au cours de leurs tâches quotidiennes. Les pages web et les applications de calendrier peuvent également être utilisées pour mener ces attaques.
Les enjeux sont de plus en plus importants à mesure que les organisations donnent aux agents IA un accès accru aux informations confidentielles et aux applications d’entreprise. Si un agent suit les instructions cachées d’un attaquant, il pourrait récupérer des fichiers sensibles, divulguer des données de l’entreprise ou exécuter des actions non autorisées, potentiellement sans qu’un employé ne se rende compte de quoi que ce soit.
Pour les équipes de sécurité, le défi est urgent : identifier les endroits où les agents IA rencontrent des contenus non fiables, limiter ce à quoi ces agents peuvent accéder et empêcher qu’une tâche courante ne se transforme en incident de sécurité.
Qu’est-ce que l’injection indirecte de prompts
Les attaques par injection de prompts se répartissent généralement en deux catégories :
- Injection directe de prompts : Les acteurs malveillants soumettent des instructions malveillantes directement via l’interface de saisie d’un système d’IA.
- Injection indirecte de prompts : Les acteurs malveillants intègrent des instructions malveillantes dans des contenus externes qu’un système d’IA rencontre alors qu’il exécute une tâche légitime.
L’injection indirecte de prompts vise à amener les systèmes d’IA à suivre les instructions de sources non fiables plutôt que leurs commandes autorisées. Ces attaques peuvent se produire sans que les acteurs malveillants n’interagissent directement avec le système d’IA ciblé.
Par exemple, un assistant IA qui résume un document pourrait rencontrer des instructions lui demandant de récupérer des documents financiers internes. Si l’agent suit ces instructions et dispose d’autorisations suffisantes, il pourrait tenter d’envoyer ces informations vers une destination non autorisée.
Cependant, le fait de rencontrer un contenu malveillant n’entraîne pas nécessairement la réussite d’une attaque. L’issue dépend de la manière dont le système d’IA gère les instructions non fiables et des actions qu’il est autorisé à effectuer.
Types courants d’attaques par injection indirecte de prompts
Les acteurs malveillants peuvent dissimuler des instructions malveillantes dans des contenus que les systèmes d’IA traitent au cours de tâches courantes. Ces attaques peuvent cibler les assistants et les agents IA par l’intermédiaire de plusieurs types de contenus externes.
Attaques par e-mail
Les acteurs malveillants peuvent dissimuler des instructions malveillantes dans des e-mails que les assistants IA lisent ou résument. Une technique consiste à utiliser la même couleur pour le texte et l’arrière-plan du message, ce qui rend les instructions difficiles à détecter pour les lecteurs humains tout en les laissant potentiellement accessibles aux systèmes d’IA.
Attaques par PDF et documents
Les fichiers PDF et autres documents peuvent contenir des instructions cachées conçues pour manipuler les agents IA. Si un agent suit ces commandes, il pourrait récupérer des informations confidentielles ou effectuer des actions qui sortent du cadre de ses tâches autorisées.
Attaques par invitations de calendrier
Les acteurs malveillants peuvent intégrer des prompts malveillants dans les descriptions d’invitations de calendrier ou les ordres du jour de réunions afin de manipuler les assistants IA. Si l’assistant suit ces instructions, il pourrait effectuer des actions non autorisées sans qu’un employé ait besoin d’interagir avec l’invitation.
Attaques par pages web malveillantes
Les acteurs malveillants peuvent intégrer des instructions malveillantes dans le contenu des pages web ou dans des éléments HTML cachés pour cibler les agents IA. Le texte alternatif des images peut également contenir des prompts qu’un agent IA est susceptible de traiter pendant sa navigation, ce qui pourrait l’amener à effectuer des actions imprévues.
Ce que révèle l’étude de Proofpoint sur les techniques des attaquants
Les chercheurs de Proofpoint ont indiqué en juillet 2026 que des acteurs malveillants développaient et commercialisaient des outils destinés aux attaques par injection indirecte de prompts.
Certains services proposés auraient débuté à environ 150 dollars US par mois et offert des outils permettant de créer des e-mails et des fichiers PDF malveillants. D’autres outils étaient conçus pour cibler les invitations de calendrier et les pages web.
Proofpoint a également documenté des tests portant sur un PDF contenant des instructions destinées à amener un agent IA à localiser et à transmettre des fichiers XLSX.
Plusieurs techniques étaient encore expérimentales au moment de l’étude, et Proofpoint n’avait pas établi que ces attaques faisaient l’objet d’une exploitation à grande échelle.
Comment détecter et prévenir les attaques par injection indirecte de prompts
Les équipes de sécurité doivent surveiller l’activité des agents IA afin de repérer les signes de comportement non autorisé. Tout accès inattendu à des fichiers ou toute connexion sortante peut indiquer une attaque, en particulier si cela se produit après qu’un agent a traité un contenu externe.
Les organisations peuvent réduire le risque d’injection indirecte de prompts en mettant en œuvre les mesures suivantes :
- Restreindre les autorisations des agents : Limiter l’accès aux applications et aux informations nécessaires à l’exécution des tâches qui leur sont attribuées.
- Séparer les instructions fiables des contenus externes : Considérer les documents et les messages récupérés comme des données non fiables plutôt que comme des commandes que l’agent doit suivre.
- Exiger une approbation pour les actions sensibles : Imposer des contrôles d’autorisation avant que les agents ne transfèrent des fichiers confidentiels ou n’effectuent d’autres opérations à fort impact.
- Contrôler les communications externes : Limiter les connexions des agents aux applications et aux destinations approuvées.
- Surveiller l’activité des agents : Consigner les sources de contenu pertinentes et les appels d’outils afin d’enquêter sur les actions sortant des processus autorisés.
- Protéger les informations sensibles : Appliquer des contrôles de prévention contre la perte de données (DLP) pour aider à détecter et à bloquer les transferts de données non autorisés.
- Tester les contrôles de sécurité : Inclure des scénarios d’injection de prompts dans les exercices de réponse aux incidents afin d’évaluer si les mesures de protection existantes peuvent détecter et contenir les attaques.
Les contrôles de sécurité doivent imposer des restrictions d’accès aux agents et des exigences d’autorisation indépendamment du modèle d’IA. Le filtrage des prompts peut détecter certaines instructions malveillantes, mais il ne peut pas empêcher toutes les attaques.
En résumé
L’injection indirecte de prompts crée un risque de sécurité à mesure que les organisations donnent aux agents IA un accès accru aux systèmes de l’entreprise. Même des tâches courantes peuvent exposer les agents à des instructions malveillantes dissimulées dans des contenus externes.
Les organisations doivent évaluer le niveau d’autorité dont disposent leurs agents IA et déterminer si les contrôles de sécurité existants peuvent empêcher les actions non autorisées lorsqu’un agent est manipulé.
Pour plus de conseils, consultez notre liste de contrôle de sécurité des agents IA afin d’évaluer les mesures de protection nécessaires avant de déployer des agents IA.