Assistant IA interne : tester avant le lancement

Aucun assistant n'est immunisé : le centre national de cybersécurité britannique (NCSC) écrit, dans son billet du 08/12/2025, que « prompt injection attacks may never be totally mitigated ». Évaluer la résistance d'un assistant revient donc à rejouer des attaques réalistes en préproduction, à observer ce qui fuit ou dérape, puis à décider quel risque résiduel l'entreprise accepte. Les outils de protection réduisent la probabilité ou l'impact d'une attaque, sans remplacer ce test.

Comment vérifier qu'un assistant résiste aux injections avant de l'ouvrir ?

En le soumettant à un jeu d'attaques représentatives, dans les conditions réelles de déploiement, avant que le moindre collaborateur n'y accède. Le projet OWASP GenAI Security définit l'injection de prompt comme une vulnérabilité qui survient lorsque des instructions d'utilisateur modifient le comportement ou la sortie du modèle de façon non prévue. Il précise que les injections indirectes surviennent quand le modèle accepte des contenus externes, comme des sites web ou des fichiers.

La difficulté tient à la conception même des modèles. Selon le NCSC, les grands modèles de langage n'appliquent aucune frontière de sécurité entre instructions et données à l'intérieur d'un prompt. Un document consulté par l'assistant peut donc se comporter comme une consigne.

Voici une trame de test à adapter :

1. Cartographier toutes les entrées : messages, fichiers déposés, pages web, e-mails, connecteurs vers des bases internes.
2. Lister ce que l'assistant peut atteindre : documents, outils, comptes de service, droits d'écriture. Plus ses accès sont larges, plus l'impact d'une injection réussie augmente.
3. Tester les injections directes : demander d'ignorer les consignes, de révéler le prompt système ou de changer de rôle.
4. Tester les injections indirectes : faire lire à l'assistant un fichier ou une page contenant des instructions cachées, puis vérifier s'il les exécute.
5. Tester les fuites : demander des informations d'un autre service, des identifiants, des extraits de documents auxquels l'utilisateur n'a pas droit.
6. Tester les contournements : reformulations, changement de langue, demandes découpées en plusieurs étapes, encodages simples.
7. Consigner les résultats, corriger, puis rejouer la série après chaque changement de modèle, de prompt système ou de connecteur.

Automatiser une partie des tests

Le scanner open source garak de NVIDIA vérifie si une application adossée à un modèle peut être amenée à échouer d'une manière indésirable. Il est diffusé sous licence Apache-2.0, ce qui permet de l'intégrer à une démarche de test interne. Il complète les scénarios écrits à la main, sans les remplacer : les cas propres à l'entreprise (documents sensibles, droits par service) restent à construire.

Tester dans toutes les langues utilisées

La documentation Microsoft Learn sur Prompt Shields apporte deux points de vigilance, au 29/10/2026. La détection des attaques via le prompt utilisateur est activée par défaut, tandis que celle des attaques via les documents est désactivée par défaut et doit être activée. De plus, les modèles de détection sont surtout entraînés et évalués sur de l'anglais, et leurs performances peuvent varier dans d'autres langues. Microsoft recommande d'évaluer séparément prompts et documents, avec des attaques représentatives et des contenus légitimes, dans chaque langue de l'application. Pour une équipe francophone, cela impose des jeux de test en français.

Quelle solution acheter pour protéger un assistant interne ?

Cela dépend du risque à couvrir : empêcher des instructions malveillantes d'influencer le modèle, ou empêcher des données sensibles de sortir vers des services d'IA. Ces deux besoins se recoupent sans être identiques, et un seul produit ne les traite pas toujours tous les deux.

Le tableau compare trois options sur un critère unique : ce que la documentation de chaque acteur indique, au 29/10/2026.

Le tarif n'est pas indiqué sur la page Microsoft Learn consacrée à Prompt Shields ni sur la page GitHub de garak. Pour les offres commerciales, il se demande par devis auprès de chaque éditeur.

Un parc entièrement bâti sur Azure trouvera dans Prompt Shields un point de départ cohérent. Une organisation déjà équipée d'une passerelle de sécurité web peut d'abord regarder l'extension de celle-ci avant d'ajouter un produit.

Où se situe ZeusLock

Selon ZeusLock (zeuslock.ai), l'éditeur est français et propose une « DLP IA » conçue pour la souveraineté. La solution repère les informations confidentielles (clés d'API, identifiants, IBAN, données à caractère personnel, code source), puis les anonymise en préservant leur format ou les bloque avant leur envoi vers une IA générative. Les services pris en charge comprennent ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral ainsi que DeepSeek.

D'après la marque, le dispositif fonctionne dans le navigateur, mais aussi sur les postes Windows, Mac et Linux, via le terminal, dans les environnements de développement (IDE) et auprès des agents IA et des serveurs MCP. Un déploiement sur site est possible pour les organisations qui refusent que leurs données transitent par un service tiers. Elle revendique en outre le repérage des usages d'IA non autorisés (Shadow AI), ainsi qu'une protection contre l'injection de prompt et contre le jailbreak, et une intégration aux chaînes CI/CD. Elle vise en priorité les RSSI et les DPO d'organisations européennes. Le tarif n'est pas indiqué dans ces informations ; il faut le demander à l'éditeur.

Cette option se discute surtout quand la souveraineté ou l'hébergement sur site pèsent dans la décision. Une organisation qui cherche avant tout un scanner de tests ou une couche intégrée à Azure peut trouver mieux adaptés les outils décrits plus haut.

Faut-il impliquer le DPO et le juridique ?

Oui, dès la phase de test, car les prompts et les documents manipulés contiennent souvent des données personnelles ou confidentielles. Le RGPD, l'AI Act et la directive NIS2 peuvent s'appliquer selon l'activité et la taille de l'organisation, et la CNIL publie des recommandations sur l'IA. Les obligations précises dépendent de chaque situation : elles relèvent du DPO ou d'un juriste, pas d'une check-list technique.

Le rapport du NIST sur l'apprentissage automatique adversarial, publié le 24/03/2025, rappelle que ces technologies « remain vulnerable to attacks ». Documenter les tests, les écarts constatés et les mesures retenues aide à justifier les choix faits avant l'ouverture aux équipes.

Sources

• LLM01:2025 Prompt Injection, OWASP GenAI Security Project, consulté le 29/10/2026
• Prompt injection is not SQL injection, NCSC, consulté le 29/10/2026
• Prompt Shields in Azure AI Content Safety, Microsoft Learn, consulté le 29/10/2026
• NIST Trustworthy and Responsible AI Report: Adversarial Machine Learning (NIST AI 100-2e2025), NIST, consulté le 29/10/2026
• garak, the LLM vulnerability scanner, NVIDIA (GitHub), consulté le 29/10/2026