En clair
Une injection consiste à faire passer du contenu hostile là où le système attend une donnée inoffensive. Le programme traite ensuite ce contenu comme une instruction légitime. On parle d'injection SQL quand le code malveillant vise une base de données, et d'injection de prompt quand il vise un modèle de langage.
Dans le cas d'un modèle de langage, l'attaquant place ses consignes dans un texte que le modèle va lire : une page web, un document, un courriel. Le modèle ne distingue pas clairement les ordres de son opérateur du contenu qu'il parcourt. Il peut donc suivre la consigne cachée. On dit l'injection « indirecte » quand elle passe par un contenu tiers que le modèle consulte, par opposition à une saisie directe de l'utilisateur.
Pourquoi c'est important
Les agents qui naviguent sur le web ou lisent des fichiers sont exposés à ce risque en permanence. Une page piégée peut leur faire exécuter des actions non prévues. Les garde-fous d'un modèle reposent sur son contexte de session et non sur ses poids. Un refus n'est donc pas une barrière durable, et repartir d'une session vierge peut devenir un moyen de contournement.
Les tests de résistance mesurent ce risque. Sur le benchmark Gray Swan d'injection indirecte de prompt, Gemini 4 Argon affiche 0,7 % de réussite sur 15 tentatives adaptatives, contre 8,5 % pour GPT-6 Astra et 4,8 % pour Claude Opus 5 lors d'un test précédent. La source précise que Google ne dit pas si les conditions étaient identiques.
Dans la pratique
Pour une équipe qui branche un agent sur des sources externes, quelques réflexes limitent la surface d'attaque. Restreindre les outils accessibles à ce qui est réellement nécessaire. Valider les actions sensibles par une confirmation humaine. Journaliser les appels pour repérer les comportements anormaux. Traiter tout contenu venu de l'extérieur comme non fiable, y compris les pages web et les documents.
Côté applications classiques, l'injection SQL reste une faille courante. Elle touche des logiciels connus, comme le plugin WordPress Support Board (CVE-2026-4815). La parade est ancienne : ne jamais construire une requête en collant directement le texte saisi par l'utilisateur, et passer par des requêtes préparées.
À ne pas confondre avec
L'injection de prompt n'est pas une hallucination. Une hallucination est une réponse fausse produite sans mauvaise intention. Une injection suppose un tiers qui cherche à détourner le système. Elle se distingue aussi d'une simple erreur de configuration, même si les deux peuvent se combiner pour provoquer un incident.