Prompt injection et agents IA : securiser un systeme multi-agents sans le brider

Un agent est un systeme qui peut interpreter un objectif, manipuler du contexte, et parfois agir via des outils. Cela change la nature du risque : une sortie fausse n'est pas seulement un "mauvais texte", elle peut devenir une action non desiree. C'est pourquoi la securite des agents doit etre pensee comme une architecture, pas comme un filtre cosmetique.

1 Pourquoi la prompt injection devient critique avec les agents

OWASP definit la prompt injection comme une vulnerabilite ou des entrees (prompts) modifient le comportement ou la sortie d'un LLM de maniere involontaire, et souligne que l'impact depend fortement du contexte metier et du niveau d'agency (capacite d'action) du systeme. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

Dans un systeme multi-agents, le probleme s'amplifie : plus d'agents, plus de memoire, plus de donnees externes, plus d'outils. Le risque n'est pas seulement "l'hallucination", mais la capacite a influencer des decisions et actions sur des systemes connectes.

2 Injection directe vs indirecte : mecanismes et exemples

OWASP distingue des injections directes (prompt fourni par l'utilisateur) et indirectes (instructions presentes dans des sources externes recuperees par le systeme). [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

Le NIST rappelle egalement que l'injection indirecte peut exploiter des applications integrees a des LLM en injectant des instructions dans des donnees susceptibles d'etre recuperees, avec des demonstrations de vols de donnees proprietaires ou d'execution de code a distance selon les environnements. [Source](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf)

3 Impacts en entreprise : de l'erreur au scenario de fuite

OWASP liste des impacts possibles : divulgation d'informations sensibles, manipulation de contenu, acces non autorise a des fonctions, execution de commandes dans des systemes connectes, influence sur des decisions critiques. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

Trois scenarios frequents

• Exfiltration : l'agent recompose des donnees sensibles via memoire, logs ou outils.
• Privilege escalation : l'agent obtient ou utilise des permissions trop larges par erreur de conception.
• Action non desiree : envoi d'email, creation de tickets, modifications d'objets metier sans validation.

4 7 garde-fous prioritaires (defense en profondeur)

1. Least privilege (droits minimaux)

OWASP recommande explicitement le controle des privileges et l'acces minimal, en evitant de fournir des fonctions directement au modele si cela peut etre gere cote code. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

2. Human-in-the-loop pour les actions a risque

OWASP recommande une approbation humaine pour les actions a fort impact. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

3. Separation du contenu non fiable

Marquer clairement les sources externes et limiter leur influence sur les instructions. OWASP recommande de segmenter et d'identifier le contenu externe. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

4. Formats de sortie attendus et validation deterministe

OWASP propose de definir des formats attendus et de verifier cote code, afin de reduire les sorties ambigues et detecter des comportements anormaux. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

5. Filtrage entree et sortie

OWASP recommande des filtres et des regles pour traiter le contenu sensible et detecter des patterns d'attaque. [Source](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)

6. Journalisation et audit

Sans traces, vous ne pouvez pas prouver la conformite ni comprendre un incident. L'observabilite est un garde-fou en soi : on reduit le risque et on accelere le diagnostic.

7. Red teaming regulier

Le NIST recommande de realiser du red teaming pour evaluer la resilience face a des attaques GAI dont la prompt injection. [Source](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf)

5 Red teaming et tests : passer du bon sens a la preuve

Le NIST propose d'adapter les pratiques cyber pour couvrir les systemes generatifs et recommande d'evaluer regulierement les vulnerabilites, dependances et plans de reponse. [Source](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf)

6 Checklist avant mise en production

• Chaque agent a un role stable, un scope clair, une memoire limitee
• Chaque agent a des droits minimaux et des secrets separes
• Actions a risque bloquees sans validation humaine
• Contenu externe marque comme non fiable et segmente
• Sorties structurees et validees cote code
• Logs complets : contexte, decisions, outils, resultats
• Red teaming effectue et rejoue a chaque changement majeur

7 FAQ