Sécuriser le RAG d'un agent IA

Un extrait RAG n'est pas une donnée passive. Une fois dans le contexte, il a le même poids que la demande de l'utilisateur pour le modèle. Il peut contenir :

Donnée métier

Le contenu attendu.

PII

Noms, identifiants, coordonnées.

Secret

Clé ou token oublié dans un document.

Instruction cachée

Texte blanc, commentaire, métadonnée.

Contenu empoisonné

Fausse information rédigée pour être récupérée.

Source compromise

Espace partagé modifié par un tiers.

Trois risques en découlent. L'indirect prompt injection : une instruction lue dans un document détourne l'agent. Le RAG poisoning : un contenu planté dans une source indexée oriente les réponses ou les actions. Le data leakage : un extrait que l'utilisateur ne devait pas voir est restitué, résumé ou transmis à un outil.

Un guardrail ne sait pas qui a le droit de voir une grille de salaires. Un moteur d'autorisation ne lit pas le texte d'une note pour y chercher une instruction. Chaque contrôle laisse passer ce que l'autre arrêterait.

Le PEP intercepte. Le PDP évalue, par exemple avec Axiomatics. Le RAG produit des candidats. Le PEP, ou la data access layer, ne restitue que les éléments autorisés et applique les éventuels masquages. Axiomatics décide ; il ne filtre pas lui-même l'index.

Selon l'architecture, le PDP peut aussi être consulté avant la recherche pour produire un filtre sur les métadonnées : la base vectorielle ne renvoie alors que des documents éligibles. Le mécanisme de décision et d'enforcement est détaillé dans autorisation fine des agents IA.

Collection

Tout un corpus : « RH », « Juridique ».

Document

Un fichier et ses métadonnées.

Chunk

Un extrait indexé, qui hérite ou non des métadonnées du document.

Record

Une ligne issue d'une source structurée.

Champ

Une colonne : salaire, IBAN.

Attribut

Une propriété utilisée par la politique.

La granularité réellement disponible dépend de trois choses : la structure du RAG (les chunks conservent-ils l'identifiant et la classification du document source ?), la qualité des métadonnées, et la capacité du point d'enforcement à filtrer ou masquer à ce niveau. Une politique au champ ne sert à rien si le PEP ne voit que des documents entiers.

Martin, de l'équipe Finance, demande : « Quel est le salaire de Claire ? ». La recherche vectorielle retrouve le dossier RH de Claire. Le document est présent dans le corpus ; cela ne signifie pas qu'il doit être envoyé au modèle.

L'inspection s'applique à deux moments : à l'indexation, pour ne pas faire entrer de contenu dangereux, et à la récupération, parce qu'une source peut changer après indexation.

Prompt injection et instructions cachées

Texte invisible, commentaires, métadonnées rédigées comme des consignes.

Retrieval anormal

Requêtes qui balaient le corpus, volume inhabituel, collections jamais consultées.

RAG poisoning

Contenu récent qui contredit les sources de référence ou cible des requêtes précises.

Secrets et PII

Clés, tokens, identifiants personnels présents dans des documents.

Déclencheurs de tool calls

Extraits qui poussent l'agent vers un outil ou une destination, point de jonction avec la sécurité des MCP.

AccuKnox est un exemple de couche d'inspection des interactions LLM, des données et des workloads IA. Un guardrail réduit le risque ; il ne rend pas un contenu fiable. Un extrait qui passe l'inspection reste une entrée non fiable pour l'agent. Le contrôle de ce qui part ensuite vers le modèle est traité dans protéger les données sensibles envoyées au LLM.

classification = confidentiel
department     = RH
country        = FR
owner          = DRH
project        = ORION
tenant         = A
retention      = restricted

Chaque ligne devient un attribut que le PDP peut évaluer : « un document department=RH n'est restitué qu'à un utilisateur de l'équipe RH », « un document tenant=A n'est jamais servi à un utilisateur du tenant B ».

À l'inverse, des métadonnées pauvres limitent la politique : un chunk sans classification force à choisir entre tout refuser et tout autoriser ; un propriétaire obsolète ouvre l'accès à la mauvaise personne ; une classification perdue au découpage en chunks rend le document confidentiel invisible pour le contrôle.

Une trace utile permet de reconstruire pourquoi un extrait a été, ou non, envoyé au modèle.

Qui

L'utilisateur d'origine.

Quel agent

Identité et version de l'agent.

Quelle requête

La question et la requête de recherche générée.

Quelle ressource

Identifiants des documents et chunks candidats.

Quelle politique

Règle et version appliquées.

Quelle décision

Permit, Deny, obligations.

Quels résultats

Éléments effectivement restitués.

Quel contexte

Finalité, horaire, terminal, environnement.

Journaliser la décision sans les résultats ne permet pas de savoir ce que le modèle a vu. Journaliser les résultats sans la politique ne permet pas de savoir pourquoi.