Garde-fous

Trois niveaux de contrôle

Un garde-fou peut agir avant, pendant ou après le modèle. Avant, il filtre ce qui entre : pièces jointes autorisées, longueur, données personnelles à masquer. Après, il contrôle ce qui sort : vocabulaire interdit, données sensibles, format non conforme. Entre les deux, il limite ce que le modèle peut faire : pas d'envoi de courriel sans confirmation, pas d'accès à tel dossier, pas de suppression. Cette répartition simple évite de tout attendre d'un seul mécanisme, et chaque niveau couvre les angles morts du précédent.

Les contrôles de sortie les plus utiles sont souvent les plus simples. Une expression régulière détecte un numéro de carte bancaire, un identifiant client ou une adresse électronique. Une vérification de schéma refuse une réponse mal structurée avant qu'elle n'atteigne le logiciel suivant. Ces règles ne demandent aucun modèle et se testent facilement, ce qui les rend plus fiables que les filtres fondés sur le jugement d'une machine. Elles doivent être versionnées et relues comme du code.

Le cas des agents

Un agent qui peut agir change la nature du risque. Une réponse fausse se corrige ; un virement, une suppression ou un courriel parti ne se rattrapent pas. Il faut donc limiter les outils accessibles, restreindre les droits au strict nécessaire, séparer les environnements de test et de production, et exiger une confirmation humaine pour toute action irréversible ou coûteuse. Le principe du moindre privilège s'applique ici sans nuance : un agent qui n'a pas besoin d'écrire ne doit pas avoir le droit d'écrire.

La traçabilité complète l'ensemble. Chaque appel d'outil, chaque paramètre et chaque réponse doivent être journalisés avec l'heure et l'identité de l'utilisateur, dans un espace conservé assez longtemps pour permettre une enquête. Sans ces traces, un incident devient indéchiffrable : on sait qu'un courriel est parti, pas qui l'a demandé ni pourquoi le modèle a choisi ce destinataire. Le journal est aussi la base de l'amélioration continue, et il doit être protégé car il contient souvent des données sensibles.

Les limites des filtres

Aucun filtre n'est parfait. Les modèles de classification des contenus produisent des faux positifs qui bloquent des demandes légitimes, et des faux négatifs qui laissent passer ce qu'ils devaient arrêter. Les utilisateurs apprennent vite à reformuler pour contourner un refus, parfois sans mauvaise intention. Un garde-fou trop strict finit désactivé par les équipes, ce qui annule sa protection. Le dosage demande des tests sur des cas réels, pas seulement sur des exemples choisis pour l'occasion.

Les attaques par injection de consigne exploitent précisément cette porosité. Un document externe, une page web ou un courriel peuvent contenir des instructions destinées à l'agent, qui les lit comme s'il s'agissait de son utilisateur. La parade consiste à traiter tout contenu externe comme non fiable, à séparer les instructions des données, et à ne jamais laisser un document déclencher seul une action sensible. La vigilance humaine reste nécessaire sur les enchaînements complexes et les cas nouveaux.

Organiser la supervision

Un dispositif utile tient en quatre gestes. Définir par écrit le périmètre autorisé de chaque usage. Tester les garde-fous avec des cas limites et des tentatives de contournement. Surveiller en production les refus, les erreurs et les signalements. Revoir le dispositif après chaque incident, en corrigeant la règle plutôt qu'en blâmant l'utilisateur qui a révélé la faille. Ces gestes prennent peu de temps s'ils sont intégrés au processus de mise en service, et beaucoup s'ils sont improvisés dans l'urgence.

La gouvernance compte autant que la technique. Il faut un responsable nommé, une procédure d'arrêt d'urgence, un canal de signalement accessible aux salariés, et une règle claire sur ce qui peut être fait sans validation. Sur un service destiné au public, la possibilité de joindre une personne reste le garde-fou le plus solide, parce qu'elle ne dépend ni d'un modèle ni d'un filtre. C'est aussi ce que les clients et les usagers attendent d'une organisation qui automatise une partie de son service.