~9 minutes
+340% d’attaques recensées en un an. C’est le chiffre que l’OWASP GenAI Security Project vient de poser sur LLM01, le prompt injection, et il en fait la catégorie de cyberattaque qui grimpe le plus vite, toutes familles confondues. Le terrain de jeu n’est pas un labo de recherche : Microsoft Copilot, GitHub Copilot, Cursor. Sur la même période, CrowdStrike a passé la barre des 200 techniques documentées dans sa taxonomie du sujet. J’ai mis les deux publications côte à côte parce qu’elles ne parlent pas tout à fait de la même chose, et que c’est précisément ce qui les rend utiles ensemble.
Sources : OWASP GenAI Security Project, LLM01:2025 Prompt Injection, genai.owasp.org/llmrisk/llm01-prompt-injection ; CrowdStrike, “CrowdStrike Uncovers New Prompt Injection Techniques”, crowdstrike.com/blog, publié le 7 juillet 2026.
Ça fait un moment que je documente le sujet ici, du cadre OWASP LLM01 aux cas concrets sur des systèmes de production. Cette fois je traite les deux d’un coup, parce que je n’arrive plus vraiment à les séparer : ce que valent les chiffres 2026 de l’OWASP, et ce qu’on peut tirer des référentiels publics quand il s’agit de nommer les choses au lieu de bricoler sa propre grille de lecture à chaque incident.
Note du PandaRedacteur : je vois encore des comités de sécurité ranger le prompt injection dans la case “risque émergent à surveiller”. En 2026. Émergent, avec 200 techniques cataloguées et la croissance annuelle qu’on va voir plus bas. Ce n’est plus une pousse fragile, c’est une ligne de production qui tourne en trois-huit.
Le niveau atteint en production
Pour situer la gravité, trois CVE suffisent :
- Microsoft Copilot : CVSS 9.3
- GitHub Copilot : CVSS 9.6
- Cursor IDE : CVSS 9.8
Aucun de ces trois-là ne sort d’un PoC académique publié sur arXiv. Ce sont des vulnérabilités documentées et exploitées sur des outils que des développeurs ouvrent tous les matins, avec un accès direct au code source, aux dépôts, parfois aux secrets du pipeline CI/CD. Et des scores qui viennent taquiner le maximum de l’échelle.
| Confidentialité | CRITIQUE | Exfiltration de code source, de secrets, de conversations via un agent détourné. |
| Intégrité | ÉLEVÉ | Injection de code malveillant via des suggestions d'un assistant compromis. |
| Disponibilité | MODÉRÉ | Rarement l'objectif direct, mais des chaînes d'actions non désirées peuvent dégrader un service. |
| Réputation | CRITIQUE | Un éditeur qui admet publiquement l'absence de correctif complet, ce n'est pas anodin pour la confiance client. |
OpenAI dit “peut-être jamais”
Le 13 février 2026, OpenAI a lancé un “Lockdown Mode” pour ChatGPT. Un mode restrictif de plus dans le tableau de bord, rien de renversant en soi. La communication qui l’a accompagné mérite en revanche qu’on s’y arrête : OpenAI a reconnu publiquement que le prompt injection dans les navigateurs IA “pourrait ne jamais être totalement corrigé”.
Le discours d’hier, c’était “on travaille dessus, patience”. Celui d’aujourd’hui, c’est “voici un mode dégradé pour limiter la casse”. Avant qu’on me dise qu’OpenAI est le mauvais élève de la classe : les modèles frontier de Google et d’Anthropic restent vulnérables eux aussi quelque soit les gardefous que vous activez…
Note du PandaRedacteur: je ne dis pas que c’est simple, je dis que on aura des cas toujours, un peu comme le XSS…qui n’est toujours pas éradiqué en 2026….
flowchart LR
A["Contenu externe<br/>(page web, document, sortie d'outil)"] --> B["LLM traite tout<br/>dans la même séquence de tokens"]
B --> C{"Instruction légitime<br/>ou injectée ?"}
C -->|Le modèle ne fait pas la différence| D["Action exécutée"]
D --> E["Défenses actuelles :<br/>réduisent, ne suppriment pas"]
Ce n’est pas un problème d’effort d’ingénierie, c’est de l’architecture. Un LLM reçoit instructions système, requête utilisateur et contenu externe dans le même flux de tokens, sans mécanisme fiable de séparation des privilèges entre ces sources. Tant que l’architecture reste celle-ci, chaque génération de garde-fous rétrécit la surface d’exploitation sans jamais la refermer.
Pourquoi la croissance s’accélère
Les agents IA et le Model Context Protocol ont élargi la surface disponible, et pas qu’un peu. Si on regarde le mécanisme comme dans la série OWASP MCP Top 10, en particulier sur le tool poisoning : chaque outil branché à un agent est une entrée de plus pour du contenu non fiable, et chaque agent qui enchaîne les appels d’outils multiplie les occasions d’injection indirecte.
Rien de neuf sous les pavés, donc. Toute l’industrie a choisi de brancher des LLM sur des sources de données et des outils externes, à un rythme que la maturation des défenses n’avait aucune chance de suivre.
Pourquoi une taxonomie, et pas juste une liste de CVE
Par réflexe, on range le prompt injection à côté des CVE. Sauf qu’il n’y a rien à patcher ici, la faiblesse est architecturale, on vient de le voir. Résultat : faute de classification partagée, chacun y va de son vocabulaire. En pentest, “injection indirecte”. Chez un éditeur AppSec, “contamination de contexte”. Dans la littérature académique, “goal hijacking”. Des choses voisines, rarement identiques, et au bout du compte deux rapports d’incident, deux restitutions de red team ou deux outils de détection qui ne se comparent pas.
Une taxonomie ne retire pas un octet de surface d’attaque. Elle sert à ce que deux équipes parlent du même objet avec la meme langue, et à ce qu’un chiffre comme “+340%” veuille dire quelque chose de précis au lieu de rester un gros nombre inquiétant.
Les référentiels publics disponibles aujourd’hui
OWASP : LLM01:2025 Prompt Injection
Le point d’entrée reste LLM01 dans l’OWASP Top 10 pour les Applications LLM, que je détaillais en 2025. C’est un cadre de définition, pas un catalogue de techniques : il sépare l’injection directe, où l’utilisateur fournit lui-même le contenu malveillant, de l’indirecte, où ce contenu arrive par une source tierce que le modèle va consulter (page web, document, résultat d’outil). La distinction est grossière. C’est aussi la première question à poser avant de descendre dans le détail.
Coté agentique, l’OWASP Top 10 for Agentic Applications 2026 prolonge le travail avec dix catégories, ASI01 à ASI10, construites autour de ce qu’un agent fait réellement : planifier, déléguer, appeler des outils. On ne raisonne plus sur la réponse d’un LLM passif, et côté surface d’exposition ça change à peu près tout.
Taxonomie CrowdStrike
La taxonomie CrowdStrike travaille à une tout autre granularité. Les 18 dernières entrées, publiées en juillet 2026, donnent une bonne idée du détail visé :
- Trigger-Activated Rule Addition : une règle glissée dans le contexte reste dormante jusqu’à l’apparition d’une phrase ou d’un événement déclencheur, moment où le modèle se met à la suivre.
- Cognitive Token Suppression : on contourne les refus de sécurité en poussant les choix linguistiques du modèle hors des patterns de refus habituels.
- Algorithmic Payload Decomposition : le message arrive en plusieurs morceaux, anodins pris isolément, et ne devient une instruction hostile qu’une fois recomposé.
- Special Token Injection : insertion de jetons de contrôle qui imitent les commutateurs internes normalement réservés au système.
- Unwitting User Delivery : l’attaque passe par de l’ingénierie sociale, l’utilisateur légitime servant lui-même de vecteur sans le savoir.
Cette approche sert à quelque chose de précis : écrire des règles de détection et des jeux de test par variante. L’alternative, c’est le filtre “anti-prompt-injection” générique, qui en production couvre une poignée de patterns évidents et laisse filer le reste.
Voilà en bonne partie pourquoi des CVE à 9.3, 9.6 et 9.8 passent au travers de défenses pourtant déployées.
MITRE ATLAS : la vue chaîne d’attaque
OWASP et CrowdStrike cataloguent des techniques. MITRE ATLAS fait autre chose : il les replace dans une chaîne d’attaque complète, calquée sur ATT&CK, de la reconnaissance à l’impact en passant par l’accès initial, l’exécution et la persistance. Le prompt injection y devient une technique d’accès initial ou d’exécution parmi d’autres. Ce qui m’intéresse dans cette vue : raccrocher l’injection à ce qui la précède, comment l’attaquant est arrivé jusqu’à ce point d’entrée, et surtout à ce qui la suit.
flowchart TD
A["OWASP LLM01 / ASI Top 10<br/>définit les catégories + mesure la croissance"] --> B["CrowdStrike (200+ techniques)<br/>documente les variantes précises"]
B --> C["MITRE ATLAS<br/>situe la technique dans la kill chain"]
C --> D["Équipe sécurité<br/>règles de détection + red team ciblé"]
Concretement, on fait quoi avec tout cela ?
Ces trois-là ne se font pas concurrence, ils travaillent à des échelles différentes. Quand j’évalue un système agentique, je commence par OWASP pour cadrer le périmètre : direct ou indirect, quelle surface d’exposition, et où elle se situe par rapport à la tendance du secteur.
Je descends ensuite dans la taxonomie, telle que celle de CrowdStrike, pour ne garder que les variantes pertinentes au vu du vecteur d’entrée disponible ; contenu web, sortie d’outil MCP, document ingéré. ATLAS arrive en dernier, pour regarder ce que l’attaquant obtient une fois l’injection passée. L’impact se joue là, pas dans l’injection elle-même.
Note du PandaRedacteur : je vois encore des RFP sécurité avec un onglet IA avec la question “Comment protégez-vous contre le prompt injection ?”, case à cocher, deux lignes de réponse attendues. Autant demander “protégez-vous contre le malware ?” et se contenter d’un oui bien senti. Contre quelles variantes, sur quel vecteur d’entrée, avec quelle couverture mesurée face à +340% par an ? Là, on peut commencer à discuter.
Ça recoupe ce que je documentais dans Prompt injection dans le tri de CV : sur un cas d’usage réel, les détecteurs commerciaux les plus visibles se faisaient contourner en masse, parce qu’ils étaient calibrés sur un sous-ensemble étroit de techniques.
Cette diversité-là, c’est précisément ce que les taxonomies essaient de couvrir. Et tant qu’elle n’est pas couverte, la courbe mesurée par l’OWASP n’a pas de raison de ralentir.
📚 Quelques références pour aller plus loin
- OWASP Top10 LLM01-2025 — L’Injection de Prompt
- OWASP Top 10 pour les Applications LLM en 2025 — La Liste
- OWASP Top 10 MCP — MCP01, Tool Poisoning
- Prompt injection dans le tri de CV : la première mesure réelle sur 200 000 candidatures
- CrowdStrike — CrowdStrike Uncovers New Prompt Injection Techniques
- OWASP — Top 10 for Agentic Applications 2026
- MITRE ATLAS