# 2. Le risque : injection de prompt

L'**injection de prompt** consiste à glisser, dans du contenu qu'un agent IA
va lire (page web, document, sortie d'un outil, e-mail...), un texte formulé
comme une **instruction** plutôt que comme une simple donnée — dans l'espoir
que l'agent l'exécute comme s'il venait de son utilisateur légitime.

## Injection directe vs indirecte

- **Directe** : l'attaquant s'adresse lui-même à l'assistant pour tenter de
  contourner ses règles (« oublie tes instructions précédentes »...).
- **Indirecte** — la plus étudiée aujourd'hui — : l'instruction n'est pas
  tapée par l'utilisateur, elle est **cachée dans un contenu tiers** que
  l'agent va lire de son propre chef pendant qu'il travaille (une page web
  qu'il visite, un fichier qu'on lui a demandé de résumer, un commentaire
  caché dans du code). L'utilisateur n'a rien tapé de suspect ; le piège est
  dans le contenu, pas dans la conversation.

## Quelques techniques de dissimulation connues

- **Caractères Unicode invisibles** (espace de largeur nulle, joints
  invisibles) : un mot-clé peut être fragmenté ou masqué sans que rien ne se
  voie à l'écran.
- **Contrôles bidirectionnels** (« Trojan Source ») : réorganisent l'ordre
  d'affichage d'un texte par rapport à son ordre réel en mémoire.
- **Homoglyphes** : remplacer une lettre latine par une lettre d'un autre
  alphabet qui se dessine presque à l'identique (ex. un « a » cyrillique).
- **Texte masqué visuellement** (CSS `display:none`, texte blanc sur fond
  blanc) : invisible pour un lecteur humain, présent dans le code source lu
  par une machine.
- **Faux marqueurs de conversation** (mots-clés de rôle suivis d'un
  deux-points, gabarits de conversation type crochets INST) glissés dans un
  contenu ordinaire, pour tenter de faire croire à l'agent qu'il reçoit une
  instruction système légitime.

## Pourquoi ce n'est pas qu'une curiosité académique

Ces techniques sont documentées publiquement et ont déjà touché des outils
grand public — voir l'étude de cas de la section suivante.

*(Schéma disponible : `schema.svg`, dans ce dossier.)*