L'injection de prompt reste une menace majeure pour les LLM
L'injection de prompt occupe la première place de l'OWASP Top 10 des applications LLM depuis trois ans. Une nouvelle analyse suggère qu'elle représente un danger important, bien qu'invisible pour les scanners.
L'injection de prompt, où des instructions malveillantes sont cachées dans le contenu traité par les grands modèles linguistiques, conserve sa première place dans le classement OWASP Top 10 des applications LLM depuis trois années consécutives. Bien qu'elle se classe 12e dans une analyse d'incidents réels, les experts soulignent sa gravité persistante.
Kyriakos « Rock » Lambros et Steve Wilson, qui dirigent le projet OWASP Top 10 for LLM Applications, ont publié une analyse préliminaire en août. L'étude a comparé le jugement d'experts à 6 639 incidents de sécurité réels étiquetés. L'analyse n'a révélé aucune concordance statistiquement significative entre les évaluations d'experts et le registre public des incidents.
L'attaque est difficile à détecter car elle exploite les fonctions normales du modèle, telles que la lecture des fichiers journaux ou la récupération de documents. Un attaquant peut amener le modèle à exécuter des commandes qu'il effectuerait normalement de manière légitime, sans qu'aucun défaut système ne soit apparent ou enregistré par les scanners de sécurité.
Selon les experts, les défenses les plus efficaces impliquent des tests système continus et la limitation de l'accès du modèle. Steve Wilson, directeur IA et produits chez Exabeam, souligne l'importance de passerelles d'autorisation externes pour contraindre les actions du modèle. Les instructions internes au modèle ne suffisent pas ; des règles de sécurité externes et exécutoires sont nécessaires.
Bien qu'un faible nombre d'incidents signalés puisse indiquer des défenses de sécurité efficaces, cela pourrait tout aussi bien résulter d'une investigation insuffisante des systèmes. Un rapport de CrowdStrike a indiqué que les attaquants avaient ciblé l'injection de prompt sur plus de 90 organisations en 2025. Les experts recommandent de concevoir des systèmes en partant du principe que l'injection de prompt se produira, et de limiter ce qu'un attaquant peut accomplir lorsqu'elle se produit.