Sécurité de l'IA

Trois surfaces d'attaque

La première surface est le modèle lui-même : on peut le pousser à produire un contenu interdit, à révéler ses instructions ou à sortir de son rôle. La deuxième est la donnée : un document piégé dans une base documentaire peut contenir des consignes cachées que le modèle suivra sans les distinguer d'une instruction légitime. La troisième est l'agent, dès qu'il dispose d'outils : envoyer un courriel, écrire dans un dossier, appeler une API, engager une dépense.

Ces surfaces se combinent. Une injection glissée dans une page consultée par un agent peut le conduire à transmettre un document interne à une adresse externe, sans aucune action humaine. La sécurité d'un système d'IA ne se limite donc pas au filtre de contenu : elle englobe les droits d'accès, les flux de données, les actions autorisées et la capacité à reconstituer ce qui s'est passé après coup. Un agent qui lit une boîte de courriel hérite de tous les pièges qu'elle contient, y compris les messages frauduleux.

Les attaques courantes

L'injection de prompt consiste à faire passer une instruction malveillante pour une donnée légitime. Le jailbreak cherche à contourner les règles d'un assistant par une reformulation ou un scénario fictif. L'empoisonnement de données vise l'amont : introduire des exemples biaisés dans un corpus d'entraînement ou de recherche documentaire. L'extraction de modèle cherche, elle, à reconstituer des informations sensibles par questions répétées et recoupements successifs. Ces attaques se testent avec des documents piégés, sans attendre qu'un incident réel révèle la faiblesse.

La plupart de ces attaques ne demandent aucune compétence rare. Des consignes cachées dans un fichier, une signature de courriel ou une page web suffisent souvent, et l'attaquant n'a pas besoin d'accéder au système. Le risque augmente avec les droits accordés : un agent de lecture est gênant, un agent qui peut payer, supprimer ou envoyer l'est beaucoup plus, et c'est pourtant celui que l'on déploie le plus vite. La revue des droits accordés aux agents est souvent plus rentable que l'ajout d'un filtre supplémentaire.

Les contre-mesures

Le principe de moindre privilège reste la première défense : chaque agent n'accède qu'aux données et aux actions dont il a besoin, avec un compte dédié. Le cloisonnement sépare les environnements, les comptes et les secrets. La validation des sorties, la limitation de débit et la journalisation complètent le dispositif. Les tests adversariaux, menés avant la mise en service puis à chaque évolution, révèlent les contournements les plus simples, souvent les plus efficaces.

Le cadre réglementaire s'ajoute aux mesures techniques. Le règlement européen sur l'IA impose des exigences de gestion des risques et de documentation pour les systèmes à haut risque, et la plupart des usages d'entreprise restent soumis au RGPD pour les données personnelles. La sécurité d'un projet d'IA se documente donc comme un système d'information classique, avec une analyse de risque, un responsable identifié et une procédure de signalement. Les obligations se traduisent en pratiques concrètes : inventaire des systèmes, description des usages, contrôle des fournisseurs.