Le prompt ne doit pas porter seul la frontière de sécurité

Le prompt cadre le rôle de l’agent, précise sa tâche, décrit les limites attendues et oriente son comportement. Un prompt bien construit améliore nettement la qualité et la prévisibilité des réponses. Il agit sur ce que le modèle a tendance à faire.

Instruction système : « Read customer records. Never delete them. » L’outil mis à disposition expose pourtant read(), update() et delete(), et l’identité qu’il utilise en aval possède les droits correspondants.

La question de sécurité ne se limite pas à savoir si l’agent a reçu l’ordre de ne pas appeler delete(). L’architecture doit aussi expliquer pourquoi delete() est techniquement disponible pour cette tâche.

Dans le premier chemin, seule l’obéissance du modèle sépare la demande de la suppression. Dans le second, la requête traverse une politique évaluée hors du raisonnement du modèle : une instruction contournée ne change pas la décision.

OWASP décrit l’injection de prompt comme une vulnérabilité capable de faire dévier le comportement d’un LLM, de façon directe ou indirecte, par exemple via un fichier ou un site web lu par le modèle. L’impact peut aller jusqu’à l’accès non autorisé à des fonctions ou l’exécution d’actions dans des systèmes connectés.^[1]

OWASP indique qu’aucun mécanisme de prévention infaillible n’est connu à l’intérieur du modèle lui-même, et recommande plusieurs mesures : privilèges minimaux, validation des sorties, approbation humaine des opérations à risque, séparation des contenus non fiables.^[1]

La fiche Excessive Agency recommande en outre d’implémenter l’autorisation dans les systèmes en aval et d’appliquer une médiation complète (complete mediation), plutôt que de laisser le LLM juger si l’action est autorisée.^[2]

01

Retirer les fonctions inutiles

Un outil de consultation n’expose ni modification ni suppression.

02

Réduire les droits en aval

Le compte utilisé par l’outil ne détient que les opérations requises par la tâche.

03

Approuver explicitement les actions à fort impact

Une suppression ou un envoi externe passe par une validation hors du modèle.

Les défenses au niveau du prompt réduisent les demandes dangereuses, détectent des motifs suspects, contraignent le comportement attendu et arrêtent certaines attaques avant les étapes suivantes. Notre position relève de la défense en profondeur : elles gardent leur place, sans porter seules la frontière pour les actions sensibles.