L'agent élargit la surface d'attaque du modèle
Un modèle de langage seul produit du texte ; un agent agit. Il interroge une base de données, remplit un formulaire, déclenche un paiement, publie un contenu. Cette extension des pouvoirs change la nature du risque. Là où une réponse erronée se corrigeait d'un clic, une action erronée laisse une trace réelle : un virement parti, un accès accordé, une donnée exportée. La vulnérabilité d'un agent ne se limite donc pas à sa qualité de raisonnement, elle dépend de tout ce qu'on lui a branché. Évaluer la sécurité d'un agent suppose de cartographier d'abord ses outils, ses droits et ses déclencheurs, avant même de regarder son prompt.
Cette cartographie révèle un enchaînement de confiances. L'agent fait confiance au document qu'il résume, qui vient d'une source non contrôlée. Il fait confiance à l'outil qu'il appelle pour ne pas mentir, et à l'utilisateur pour ne pas le détourner. Le maillon faible se déplace au gré des connexions. Une entreprise qui déploie un agent connecté à sa messagerie, à son agenda et à sa documentation interne crée autant de portes que de services raccordés. La question n'est pas de savoir si l'agent est fiable, mais quelles décisions on accepte qu'il prenne sans confirmation humaine, et comment on le vérifie.
Injection de prompt : détourner sans effraction
L'injection de prompt occupe une place centrale parmi les vulnérabilités des agents. L'attaque consiste à glisser une instruction dans un contenu que l'agent est chargé de lire : un courriel, une page web, une pièce jointe. Comme le modèle traite indifféremment les données et les consignes, il peut obéir à un ordre qu'aucun humain n'a formulé. Quand l'agent dispose d'outils, l'injection cesse d'être une curiosité conversationnelle : elle produit des effets concrets. C'est ce passage de la parole à l'acte qui rend le risque sérieux pour un agent relié à des services sensibles. Une injection réussie ne déroute pas seulement la conversation : elle transforme l'agent en instrument au service d'un tiers.
Les parades tiennent à l'architecture plus qu'au modèle. Il faut séparer les instructions des données, refuser d'exécuter un ordre issu d'une source non fiable, et surtout ne jamais laisser un texte piloter directement une action à conséquence. Borner les pouvoirs de l'agent réduit la portée d'un détournement réussi. Aucune technique n'élimine totalement l'injection, car elle découle de la nature du langage. On ne supprime pas la faille : on limite les dégâts qu'elle peut causer, on encadre les outils et on surveille les comportements qui s'écartent de l'usage attendu.
Moindre privilège et validation des actions sensibles
Le principe du moindre privilège veut qu'un agent n'ait que les droits strictement nécessaires à sa tâche. Un assistant qui rédige des réponses n'a pas besoin d'envoyer des courriels en son nom. Un agent qui consulte un catalogue n'a pas besoin d'y écrire. Chaque permission accordée par confort devient une voie d'exploitation. Appliquer ce principe demande de réviser les accès un par un, ce qui dérange les habitudes mais réduit fortement l'exposition. La sécurité d'un agent commence par une liste courte de ce qu'il peut faire, pas par la longue liste de ce qu'il pourrait.
Aux droits s'ajoute le contrôle des moments décisifs. Les actions irréversibles ou coûteuses méritent une validation humaine : un paiement, une suppression, un envoi à un grand nombre de destinataires. On peut aussi poser des plafonds, des délais et des garde-fous déclenchés par le contexte. Cette approche ne ralentit pas l'agent dans les tâches banales et réserve l'attention humaine aux opérations qui comptent. Le règlement européen sur l'intelligence artificielle renforce cette exigence pour les systèmes à haut risque, en demandant une supervision humaine et une gestion documentée des risques.
Journaliser et surveiller pour interrompre
Sans journal, un incident sur un agent ne s'analyse pas. Il faut conserver la trace des entrées reçues, des outils appelés, des décisions prises et des réponses produites. Ce relevé permet de reconstituer ce qui s'est passé, de repérer une injection réussie et d'en tirer des règles. La journalisation a un coût, en stockage comme en discipline, mais elle transforme un système opaque en dispositif inspectable. Pour les organisations soumises au RGPD, elle sert aussi à démontrer la maîtrise des traitements et à répondre aux personnes qui exercent leurs droits.
La surveillance prolonge le journal en temps réel. Des alertes sur des comportements anormaux — pic d'actions, accès inhabituels, requêtes répétées — permettent d'interrompre un agent avant qu'il ne cause un dommage durable. Ce contrôle continu n'a de sens que si quelqu'un est en position d'agir sur l'alerte. La sécurité d'un agent est donc autant organisationnelle que technique : elle suppose des rôles clairs, des procédures d'arrêt et des personnes formées à réagir. Connaître les vulnérabilités ne suffit pas ; il faut être capable de couper la machine quand elle dérape. Cette capacité de réaction, plus encore que la finesse du modèle, sépare une organisation qui pilote ses agents d'une organisation qui les subit.
Aller plus loin
Sécuriser un agent d'IA demande de comprendre ses vulnérabilités, mais aussi de savoir tester ses accès et documenter ses garde-fous. Pour aller plus loin, parcourez le catalogue des 31 formations et repérez les parcours consacrés à la sécurité des systèmes d'IA.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations