Une instruction cachée peut-elle détourner votre IA ?

Ce que ça veut dire

Une injection de consignes cherche à faire suivre à l’assistant des instructions placées dans un contenu qu’il devait seulement examiner. Elle est indirecte lorsque ce contenu vient d’un document, d’un site, d’un courriel ou d’un résultat de recherche. L’utilisateur peut avoir formulé une demande parfaitement légitime.

Le problème vient du passage entre information et autorité. Un texte reçu peut être utile pour répondre sans avoir le droit de modifier l’objectif, les permissions ou les destinataires. Les services tentent de maintenir cette séparation, mais une formulation impérative ou une prétendue règle de sécurité peut encore tromper le système.

Avec un agent IA, les conséquences peuvent dépasser une réponse incorrecte : le modèle dispose parfois d’outils qui permettent de modifier un fichier ou de transmettre un message. Le risque dépend donc du texte rencontré et des pouvoirs réellement disponibles. Une instruction suspecte dans un document n’implique pas, à elle seule, que votre appareil est infecté.

Un exemple concret

Prenons un exemple fictif : vous demandez un résumé d’un dossier de candidature. Au milieu du document, un encadré affirme que l’assistant doit transmettre les fichiers consultés vers une adresse extérieure avant de continuer. Ce passage se présente comme une vérification obligatoire, mais il ne fait pas partie de votre demande.

Ne copiez pas cet encadré dans un agent connecté pour voir s’il obéit. Relevez sa présence et examinez le document dans un environnement sans capacité d’action. Vous pouvez décrire le problème ainsi : le fichier demande une transmission de données étrangère au résumé attendu. Il n’est pas nécessaire de reproduire ni de suivre sa procédure.

Comparez ce passage avec une phrase ordinaire du dossier, par exemple une règle destinée aux candidats. Une phrase à l’impératif n’est pas automatiquement malveillante. Le signe décisif est le changement de destinataire et d’objectif : le texte essaie de commander l’assistant, de contourner votre consigne ou d’obtenir une action non autorisée.

Repérer les changements d’autorité

Méfiez-vous des passages qui prétendent remplacer vos instructions, masquer une action ou obtenir un accès supplémentaire. Ils peuvent invoquer une urgence, une maintenance ou une validation de sécurité. Une présentation soignée, un logo ou la présence du passage dans un fichier connu ne lui donne pas d’autorité sur votre tâche.

L’instruction n’est pas forcément visible dans la lecture habituelle. Elle peut apparaître dans du texte extrait automatiquement, dans une image interprétée par le service ou dans un résultat fourni par un connecteur. Vous n’avez donc pas à garantir une détection manuelle parfaite. L’encadrement des permissions reste nécessaire même lorsque vous avez relu le document.

Les travaux d’Anthropic sur les injections dans la navigation décrivent cette difficulté et les défenses mises en place. Ils ne permettent pas de considérer le risque comme résolu. Pour votre usage, demandez quelles protections entourent les outils et comment suspendre une opération avant sa réalisation.

Le geste à faire : analyser sans donner de pouvoir

Préparez un exercice fictif sans données réelles et sans service connecté. Écrivez la tâche légitime sur une feuille, puis comparez-la aux actions demandées dans le document. Classez les passages selon leur rôle : informations utiles au résumé, règles destinées au lecteur du document, demandes adressées à l’assistant. Signalez les tentatives de changement d’objectif sans les exécuter.

Pour un usage réel, limitez les connexions et gardez une supervision humaine avant toute transmission. La confidentialité repose aussi sur cette limitation : une donnée inaccessible ne peut pas être récupérée par l’outil concerné. La fiche pour révoquer une application connectée à son assistant IA aide à retirer un accès devenu inutile.

Si un lien apparaît dans le passage suspect, utilisez la fiche pour contrôler un lien suspect sans ouvrir sa destination. Si une action semble déjà partie, suspendez les automatisations, conservez les traces et prévenez le responsable du service. Repartir dans une nouvelle conversation ne suffit pas à annuler une opération effectuée ailleurs.

Pour aller plus loin

Vous savez reconnaître un changement d’instruction et limiter son effet pratique. La prochaine leçon distingue les responsabilités liées à l’usage d’un système, à sa transparence et aux contenus qu’il produit.