Les attaques par injection de prompts deviennent une nouvelle menace pour la sécurité de l'IA en entreprise : le rapport de CrowdStrike révèle une augmentation des attaques par prompts malveillants.

Aperçu des événements

En 2025, les attaques par injection de prompts (Prompt Injection) sont passées d'un concept de recherche à une menace réelle. CrowdStrike, dans son rapport mondial sur les menaces 2026, a révélé qu'en 2025, les attaques par injection de prompts avaient touché plus de 90 organisations. Les attaquants, en utilisant des prompts soigneusement conçus pour générer des commandes, ont réussi à voler des identifiants et des cryptomonnaies. Le rapport indique également que les actions adverses pilotées par l'IA ont augmenté de 89 % sur un an, et que 82 % des intrusions n'impliquaient aucun code malveillant traditionnel — le prompt lui-même avait remplacé les fichiers binaires comme vecteur d'attaque.

Cette tendance s'explique par le déploiement à grande échelle par les entreprises d'agents IA, de copilotes et d'outils d'automatisation de navigateur, systèmes disposant d'accès aux e-mails, au code, aux systèmes de paiement et aux partages de fichiers. Les contrôles de sécurité traditionnels ne pouvant pas distinguer les instructions des développeurs des instructions malveillantes intégrées dans le contenu externe, l'injection de prompts est devenue la vulnérabilité numéro un (LLM01) dans les deux versions consécutives de l'OWASP Top 10 pour la sécurité des applications LLM.

Analyse technique et des risques

Méthodes d'attaque : injection directe et indirecte

L'injection de prompts se divise en deux formes : directe et indirecte. L'injection directe désigne le scénario typique où un utilisateur écrase les prompts système via une entrée. L'injection indirecte, plus menaçante, consiste pour l'attaquant à cacher des instructions malveillantes dans du contenu que le modèle d'IA lira ultérieurement, comme des e-mails, des pages Confluence, des invitations de calendrier, des pages web ou des documents téléchargés. L'utilisateur n'en a pas conscience, l'attaquant n'interagit pas directement avec le modèle, mais l'agent IA exécute les instructions toxiques.

Cas clés divulgués publiquement

• Fuite de données Slack AI (août 2024) : La société de sécurité PromptArmor a signalé qu'un attaquant disposant d'autorisations sur l'espace de travail pouvait, en implantant des instructions dans des canaux publics autorisés ou dans des fichiers téléchargés, voler des données depuis les canaux privés de Slack AI, y compris des clés API.
• EchoLeak (CVE-2025-32711, CVSS 9.3) : Aim Security a divulgué la première injection de prompts zero-click visant un système d'IA de production. L'attaquant envoie un e-mail conçu, ce qui amène Microsoft 365 Copilot à récupérer des fichiers internes et à les transférer vers un serveur contrôlé par l'attaquant, sans aucune interaction de l'utilisateur. Bien que ces deux vulnérabilités aient été corrigées, le défaut sous-jacent n'a pas été éliminé.

Le risque s'étend à l'ensemble de la pile IA

Avec l'adoption par les entreprises d'architectures avancées telles que les agents, les pipelines RAG et la mémoire à long terme, la surface d'attaque s'élargit considérablement. Les agents capables d'envoyer des e-mails, de modifier une infrastructure cloud ou d'exécuter du code considèrent la fenêtre de contexte comme une source faisant autorité ; les pipelines RAG absorbent des pages web et des documents contaminés ; la mémoire à long terme peut conserver des instructions malveillantes et les activer à chaque exécution ; le routage multi-modèles peut être contraint de sélectionner le modèle le plus vulnérable.

Analyse de l'impact sur les entreprises### Risques opérationnels L'utilisation abusive des permissions des agents IA peut entraîner des interruptions de processus métier, des fuites de données ou la falsification d'opérations critiques. Par exemple, un agent disposant de droits d'envoi d'e-mails pourrait être incité à envoyer des phishing en masse, ou un agent ayant accès à des fichiers pourrait être utilisé pour voler des données clients sensibles.

Risques financiers Le vol direct d'identifiants et de cryptomonnaies entraîne des pertes économiques immédiates. De plus, les coûts de réponse aux incidents, de remédiation système, d'amendes réglementaires et de réhabilitation de marque peuvent atteindre des millions de dollars. En décembre 2025, Gartner a recommandé aux RSSI de bloquer tous les navigateurs IA, y compris ChatGPT Atlas et Perplexity Comet, en raison de leur manque de mesures de contrôle matures.

Risques de conformité Les entreprises font face à des exigences réglementaires de plus en plus strictes lors du déploiement de systèmes IA. Le NCSC britannique et le BSI allemand ont émis des avertissements parallèles. Le NIST AI 600-1 classe l'injection d'instructions comme un risque de sécurité de l'information, mais ne fournit que des orientations au niveau politique. Les entreprises qui ne se protègent pas efficacement risquent de violer des réglementations sur la protection des données telles que le RGPD et le CCPA.

Risques de marque Des incidents publics comme EchoLeak et Slack AI ont gravement entamé la réputation des marques Microsoft et Slack. Une fois que la confiance des clients dans la sécurité des services IA est brisée, l'impact commercial à long terme est difficile à évaluer.

Observations sur les tendances du secteur

La recrudescence des attaques par injection d'instructions n'est pas un phénomène isolé. Le taux de croissance annuel de 89 % rapporté par CrowdStrike indique que les attaquants exploitent systématiquement les défauts inhérents des modèles IA. En décembre 2025, OpenAI a reconnu publiquement que l'injection d'instructions, comme les escroqueries et l'ingénierie sociale, pourrait ne jamais être totalement résolue. La fiche système de Claude Opus 4.6 publiée par Anthropic montre que le taux de réussite d'une injection unique sur un agent d'interface graphique est de 17,8 %, et qu'après 200 tentatives, il atteint 78,6 % (sans protection) et 57,1 % (avec protection). Google a rapporté que l'attaque la plus efficace déployée contre Gemini avait encore un taux de réussite de 53,6 % après un ajustement contradictoire.

Ces données montrent que les protections internes aux modèles présentent des limites fondamentales. La validation des entrées, le filtrage des sorties, la détection de signatures et les cycles de correctifs reposent sur la distinction entre « instructions » et « données », alors que cette ligne de démarcation n'existe pas à l'intérieur des modèles de langage. Les garde-fous fournis par les fournisseurs ne traitent que les schémas courants et sont quasiment inefficaces contre les injections obscures, multilingues ou encodées en images. L'entraînement contradictoire peut améliorer certains modèles, mais de nouvelles méthodes d'attaque contournent les poids mis à jour en quelques semaines.### Niveau de l'entreprise 1. Principe du moindre privilège : Attribuer à chaque agent IA l'ensemble minimal de privilèges nécessaire à ses tâches. Par exemple, un agent chargé uniquement de la gestion de l'agenda ne devrait pas avoir le droit d'envoyer des e-mails ni d'accéder au système de fichiers. 2. Processus d'approbation humaine : Mettre en place une validation humaine pour les opérations à haut risque telles que l'envoi d'e-mails, l'exécution de code, l'effectuation de paiements ou la modification des contrôles d'accès. 3. Marquage des sources sensibles : Étiqueter les sources de recherche selon leur degré de sensibilité et exclure par défaut les catégories restreintes du pipeline RAG. 4. Liste blanche réseau : Autoriser l'agent à accéder uniquement aux domaines sortants approuvés. 5. Traçabilité complète des audits : Enregistrer l'intégralité de la chaîne de raisonnement pour chaque opération importante, y compris les invites, les résultats de recherche et les appels d'outils, afin de permettre une relecture ultérieure.

Niveau technique - Déployer des classifieurs spécialisés de détection d'injection d'invite, et les réentraîner régulièrement pour faire face aux nouvelles variantes. - Mettre en œuvre un nettoyage contextuel des entrées, en séparant les entrées utilisateur des instructions système (par exemple, en utilisant des marqueurs de couleur différents). - Introduire une validation de contenu et un filtrage de sécurité dans le pipeline RAG, afin d'éviter que des documents contaminés n'affectent le système. - Effectuer des examens périodiques et une détection des anomalies sur la mémoire à long terme des agents IA.

Niveau gestion - Intégrer l'injection d'invite dans le plan de réponse aux incidents de sécurité de l'entreprise, en établissant des procédures d'urgence spécifiques aux systèmes IA. - Lors de l'acquisition de produits IA, exiger des fournisseurs : 1. Le type de classifieur utilisé pour détecter les injections d'invite et la fréquence de son réentraînement ; 2. Le taux de réussite des attaques publiquement connues, en une seule tentative et en 200 tentatives ; 3. Les catégories de vulnérabilités OWASP que le produit traite (par exemple LLM01, LLM06, ASI01, ASI06) ainsi que les mesures de contrôle spécifiques ; 4. Si l'équipe de sécurité peut reproduire la trace complète des invites, des recherches et des appels d'outils pour tout comportement important de l'agent IA.À l'avenir, avec la prolifération et l'autonomie croissantes des agents d'IA, l'injection d'invites se combinera plus étroitement aux attaques sur la chaîne d'approvisionnement et aux menaces d'identité. Les équipes de sécurité doivent considérer les systèmes d'IA comme une toute nouvelle surface d'attaque et établir un cadre d'évaluation de la sécurité dédié. Pour les RSSI, la fenêtre d'action actuelle se réduit : chaque déploiement d'agent d'IA pourrait devenir l'entrée du prochain EchoLeak. Il est désormais temps de faire passer la défense contre l'injection d'invites de « optionnelle » à « obligatoire ».