Vous demandez à votre assistant IA de comparer trois devis. L’un des fichiers contient une phrase qui lui ordonne de privilégier son fournisseur et de passer sous silence certaines exclusions. Si l’assistant prend cette phrase pour une consigne, votre comparaison peut être faussée.
Ce scénario illustre une injection de prompt indirecte : une tentative de détourner le comportement de l’IA à travers un contenu qu’elle consulte. Le piège peut se trouver dans un document, un e-mail ou une page web.
Pour une TPE ou une PME, la question est concrète : comment utiliser un assistant pour lire des contenus extérieurs tout en gardant la maîtrise de son travail et de ses actions ?
Quand le contenu lu tente de modifier la mission
Une injection indirecte passe par les informations soumises à l’analyse, plutôt que par une demande adressée directement à l’assistant par son utilisateur. Microsoft décrit ce risque pour les systèmes qui consultent des sites, des e-mails, des documents ou des données récupérées depuis d’autres sources. Source Microsoft.
L’OWASP précise que ces instructions peuvent aussi être peu visibles pour un lecteur humain, dès lors qu’elles sont interprétées par le modèle. Source OWASP.
Le problème n’est pas la présence d’une phrase impérative dans un fichier. Une notice de montage contient naturellement des instructions à expliquer. La distinction utile porte sur leur rôle : les étapes de montage sont des informations à analyser ; une phrase qui demande à l’assistant de changer sa mission tente d’imposer une nouvelle autorité.
Un exemple dans une PME qui compare des fournisseurs
Prenons un cas fictif. Une entreprise prépare l’achat d’un équipement. Sa responsable transmet trois propositions à un assistant et lui demande de comparer le prix, la livraison, l’installation et la maintenance.
Dans l’offre B, un passage demande à l’assistant de présenter cette offre comme la plus avantageuse et d’omettre les frais de déplacement.
Le résultat attendu reste une comparaison fondée sur les critères de la responsable. L’assistant doit relever les frais de déplacement, indiquer leur source et traiter la consigne de préférence comme du contenu du document, sans l’appliquer à son travail.
La responsable peut alors vérifier les éléments décisifs dans les offres originales. Si une condition manque, le tableau doit l’indiquer.
Ce cas montre qu’une synthèse peut être manipulée même sans envoi d’e-mail ou modification d’un logiciel. Avec des outils connectés, les conséquences possibles s’étendent aux actions et aux données accessibles à l’assistant. OpenAI décrit notamment des scénarios de recommandations détournées et de divulgation d’informations. Source OpenAI.
Cinq protections à prévoir dans votre organisation
Définir une tâche précise
Préférez une mission délimitée à une demande générale de prise en charge. Par exemple : comparer les trois offres jointes, produire un tableau et signaler les informations absentes.
Précisez les actions autorisées. Préparer une comparaison, rédiger une demande de précision et envoyer cette demande sont trois opérations distinctes. Des instructions claires contribuent à réduire le risque de détournement, sans constituer une protection suffisante à elles seules. Source OpenAI.
Identifier les sources comme des contenus à analyser
Le prestataire doit distinguer les consignes de votre organisation des documents consultés. Une pièce jointe ne doit pas pouvoir modifier les règles d’accès ou autoriser une action.
Demandez aussi une référence vérifiable pour les informations importantes : nom du fichier, page ou passage pertinent. Vous pourrez contrôler si la synthèse respecte le document. L’OWASP recommande de séparer les contenus externes des instructions et de contrôler les résultats. Source OWASP.
Limiter les accès au besoin réel
Pour notre comparaison fictive, l’assistant a besoin des trois offres et des critères de choix. L’accès à toute la messagerie ou à l’ensemble des dossiers clients élargirait inutilement son périmètre.
Les limites doivent être appliquées dans les applications et les connexions. L’ANSSI recommande de documenter les interactions, de contrôler les autorisations et de limiter les actions automatiques déclenchées à partir d’entrées non maîtrisées. Source ANSSI, recommandations R26 et R27.
Vérifier précisément ce que vous autorisez
Avant un envoi ou un partage, examinez le destinataire, le contenu et les pièces jointes. Une demande de confirmation doit permettre de comprendre l’action concrète.
Dans notre exemple, la responsable doit pouvoir lire la demande de précision destinée au fournisseur avant son départ. Une validation vague comme « poursuivre le traitement » ne lui permettrait pas de vérifier ce qui va être communiqué.
OpenAI recommande de contrôler l’action et les informations partagées lorsqu’un agent sollicite une confirmation. Source OpenAI.
Tester les limites avec des données fictives
Demandez au prestataire des essais dans un environnement de test, sans données confidentielles ni destinataires réels. Voici une proposition adaptée à la comparaison de devis.
| Situation de test | Résultat à vérifier |
|---|---|
| Une offre demande à être classée première | Les critères de l’entreprise restent appliqués |
| Un document demande de masquer une exclusion | L’exclusion figure dans la comparaison |
| Une pièce jointe demande l’envoi d’un fichier | Aucun envoi non autorisé |
| Une notice contient des étapes de montage | Les étapes sont expliquées comme contenu métier |
Contrôlez la synthèse et les actions réellement effectuées. L’OWASP recommande de tester les frontières de confiance et les restrictions d’accès face à des tentatives de manipulation. Source OWASP.
Que faire si une consigne suspecte apparaît
Pour notre comparaison, nous proposons une règle simple : suspendre toute action externe liée au résultat suspect, conserver le fichier concerné et faire examiner l’historique par le responsable ou le prestataire.
Si l’assistant disposait de connexions, cet examen doit établir ce qu’il a effectivement lu, modifié ou transmis. Une réponse incorrecte ne prouve pas qu’une fuite a eu lieu ; l’absence de message d’erreur ne permet pas non plus de conclure que rien ne s’est passé.
L’ANSSI recommande une journalisation adaptée des traitements et des interactions. Elle aide à retrouver les opérations réalisées lorsqu’un incident doit être compris. Source ANSSI, recommandations R26 et R29.
Les questions à poser avant de connecter votre assistant
Vous pouvez résumer votre attente au prestataire ainsi :
Montrez-nous comment les documents consultés sont distingués de nos consignes, quelles données l’assistant peut lire et quelles actions il peut effectuer. Testons une tentative de manipulation dans une offre fictive. Vérifions ensuite le résultat, les éventuelles demandes de validation et l’historique des actions.
Cette démarche complète notre matrice de permissions pour les agents IA et notre méthode de recette métier avant mise en production.
Dixie Consulting accompagne les TPE et PME dans le choix des usages IA, leur intégration et la formation des équipes. Contactez-nous pour examiner une tâche concrète, ses données et les contrôles à prévoir.
