L’injection directe s’apparente à de l’ingénierie sociale appliquée aux modèles : les attaquants rédigent des prompts qui demandent explicitement au modèle d’enfreindre les règles, de divulguer des données ou d’agir en dehors du cadre autorisé. Il peut suffire de demander à un agent d’« ignorer les instructions précédentes » ou de révéler un secret en présentant la demande comme une tâche anodine. Le risque est réel, car de nombreux processus métier acceptent des demandes en langage naturel ou s’appuient sur des conversations internes libres. Sans garde-fous, l’agent cherchera à répondre à ce qu’il interprète comme l’intention de l’utilisateur.

L’injection indirecte survient lorsque des agents récupèrent des contenus externes et les traitent comme un contexte faisant autorité. Des pages Web, des fils de courriels ou des documents intégrés peuvent contenir des instructions cachées que le modèle incorpore à sa réponse ou à sa logique décisionnelle. Ce vecteur est particulièrement dangereux pour les agents qui naviguent de manière autonome, lisent des pièces jointes ou regroupent des fichiers fournis par des clients. Les entreprises doivent catégoriser les sources, considérer par défaut les contenus récupérés non fiables comme hostiles, et nettoyer les données ou n’en extraire que les champs vérifiés au lieu d’ingérer le texte brut.

Lorsqu’un agent dispose d’un accès étendu à des outils — API, systèmes de gestion des tickets, espaces de stockage de fichiers ou consoles cloud — une injection réussie peut entraîner des dommages opérationnels. Un agent compromis peut appeler des API pour extraire des données personnelles, créer des tickets comportant des instructions erronées ou planifier des réunions qui révèlent des sujets confidentiels. Les conséquences pour l’entreprise dépendent de l’étendue des privilèges et de la gestion des identifiants. Pour limiter les risques, appliquez le principe du moindre privilège, faites tourner et isolez les identifiants, et exigez une étape d’approbation distincte ou une validation à plusieurs personnes pour tout appel d’outil à fort impact.

Il n’existe pas de solution unique : une défense efficace repose sur plusieurs couches. Commencez par limiter au strict nécessaire l’accès aux outils et isoler les identifiants, séparez les circuits de traitement des contenus fiables et non fiables, puis mettez en place des mécanismes de nettoyage et d’extraction structurée. Ajoutez des contrôles au niveau des processus : étapes d’approbation pour les actions sensibles, vérifications explicites avec intervention humaine et signature cryptographique des prompts fiables. Sur le plan opérationnel, documentez les tâches que chaque agent est autorisé à effectuer et prévoyez un comportement de refus par défaut en cas d’incertitude, afin que l’agent privilégie la prudence plutôt que l’action.

Une surveillance opérationnelle et des plans d’intervention clairs transforment les défenses en véritable résilience. Consignez les entrées des agents, les appels de récupération et les actions effectuées par les outils, en ajoutant des étiquettes de contexte indiquant le niveau de confiance. Mettez en place des règles de validation en cours d’exécution pour les sorties à haut risque (par exemple, l’exportation de données ou l’utilisation d’identifiants) et déclenchez des alertes en cas de non-respect des politiques. Préparez un plan prévoyant la rotation des identifiants, l’audit des commandes récentes et l’annulation des actions automatisées. Des exercices réguliers d’équipe rouge et des simulations d’injection permettent de vérifier les contrôles et de révéler les dépendances cachées en matière de confiance.