Demander à une IA de résumer un PDF, lire des e-mails ou rechercher des informations semble être une tâche ordinaire. Pourtant, le contenu consulté peut contenir des instructions qui ne viennent pas de vous. Elles peuvent être visibles, dissimulées dans une page ou intégrées à un document afin d’influencer le comportement du modèle. Ce risque, appelé injection de prompt, devient plus important lorsque l’assistant peut accéder à des fichiers, utiliser des applications ou effectuer des actions. Il ne s’agit pas de renoncer aux assistants connectés, mais de leur donner un périmètre clair. Voici une méthode concrète pour les créateurs, étudiants, entrepreneurs et petites équipes qui souhaitent utiliser l’IA sans confondre une source à analyser avec une instruction à exécuter.

1. Comprenez le piège avant de chercher un filtre miracle

L’OWASP distingue l’injection directe, saisie par un utilisateur, de l’injection indirecte, placée dans une source externe comme un site ou un fichier. Dans le second cas, vous pouvez demander un résumé parfaitement légitime pendant que le document contient une phrase destinée au modèle : ignorer la mission, révéler une information ou utiliser un outil. Le texte malveillant peut même être difficile à voir pour une personne tout en restant interprétable par le système.

OpenAI compare ce mécanisme à une forme d’ingénierie sociale visant l’IA. Le problème n’est pas seulement la réponse produite. Si l’assistant possède des accès, une instruction cachée peut tenter de l’orienter vers une mauvaise recommandation, une recherche non demandée ou le partage d’un contenu. Aucune formulation ajoutée au prompt ne constitue, à elle seule, une protection absolue.

2. Commencez en lecture seule

Pour découvrir un outil, séparez la lecture de l’action. Autorisez d’abord l’assistant à analyser une copie du document sans pouvoir envoyer un message, modifier un fichier, publier un contenu ou effectuer un paiement. Une synthèse erronée se corrige ; une action extérieure peut avoir des conséquences immédiates.

Cette règle est particulièrement utile lorsqu’un fichier arrive par e-mail, messagerie ou lien partagé. Téléchargez une copie, vérifiez sa provenance et retirez les informations inutiles avant l’analyse. Si la tâche consiste à extraire cinq dates, l’assistant n’a pas besoin d’accéder à toute votre boîte mail ni à votre espace de stockage complet.

3. Donnez le minimum de permissions

Le principe du moindre privilège consiste à n’accorder que les droits nécessaires à la tâche. Un assistant chargé de préparer un brouillon peut lire le document utile, mais ne devrait pas disposer automatiquement du droit de l’envoyer. Un outil qui classe des demandes peut travailler sur un dossier dédié plutôt que sur l’ensemble des fichiers clients.

IBM souligne que réduire les privilèges ne supprime pas l’injection, mais limite les dommages possibles. Créez donc un espace de test, utilisez des fichiers non sensibles et désactivez les connexions qui ne servent pas. Pour une petite équipe, notez qui a relié quelle application et à quel besoin. Cette liste évite qu’une autorisation temporaire devienne permanente par oubli.

4. Exigez une confirmation avant chaque action sensible

Définissez les actions qui doivent toujours s’arrêter devant une personne : envoyer un e-mail, publier, supprimer, partager un fichier, modifier des données, lancer du code ou confirmer une dépense. La demande de confirmation doit décrire l’action, sa destination et les informations concernées. Une question vague comme « continuer ? » ne permet pas de contrôler réellement le résultat.

Avant d’accepter, comparez l’action proposée à votre objectif initial. Si vous avez demandé un résumé et que l’assistant veut ouvrir un autre site ou transmettre un fichier, refusez et revenez au périmètre de départ. OpenAI recommande précisément de vérifier avec attention ce qu’un agent s’apprête à faire lorsqu’il sollicite une confirmation.

5. Séparez les sources, les consignes et le résultat

Dans votre demande, indiquez que le document est une source à analyser et non une autorité capable de modifier la mission. Demandez une sortie structurée : informations extraites, passage d’origine, éléments incertains et éventuelles instructions rencontrées dans la source. Un format attendu facilite la détection d’une réponse qui s’éloigne de la tâche.

Conservez aussi un journal minimal : fichier consulté, date, objectif, outils utilisés et action finale. Si le résultat contient une recommandation étrange, vous pourrez retrouver son origine. Pour des contenus publics, vérifiez les liens et les citations directement. Pour des décisions importantes, faites relire le document original par une personne compétente au lieu de valider uniquement le résumé de l’IA.

6. Testez la résistance avec un scénario sans danger

Préparez un faux document contenant une instruction clairement identifiable, par exemple une phrase demandant de changer le titre du résumé. Utilisez uniquement des données fictives et aucune connexion sensible. Vérifiez si l’assistant signale la tentative, l’ignore ou modifie sa réponse. Répétez l’essai après un changement de modèle, de connecteur ou d’autorisation.

Le but n’est pas de prouver que le système est invulnérable. L’OWASP indique qu’aucune méthode infaillible n’est connue et recommande plusieurs couches : comportement contraint, format validé, permissions limitées et contrôle des actions. Votre test sert à repérer les faiblesses évidentes et à confirmer que l’échec reste contenu.

Conclusion : limitez ce que l’assistant peut faire en cas d’erreur

Une instruction cachée devient surtout dangereuse lorsqu’un assistant peut accéder à beaucoup de données et agir sans arrêt de contrôle. La bonne protection ne repose donc pas sur une phrase magique. Elle combine une copie sans données sensibles, un mode lecture seule, des permissions minimales, un format de sortie vérifiable et une confirmation humaine avant toute action importante.

Pour votre prochain test, choisissez un seul document et un seul objectif. Désactivez les connexions inutiles, demandez les passages sources et refusez toute action extérieure non prévue. Vous ne supprimerez pas tout risque d’injection de prompt, mais vous empêcherez plus facilement qu’un contenu malveillant transforme une simple lecture en action incontrôlée.