À retenir sur le risque d'injection de prompt en entreprise
- En mai 2026, deux juridictions brésiliennes ont réagi à des écritures porteuses d’instructions cachées : l’une a condamné solidairement les avocates signataires à 84 250 réaux, l’autre a ouvert une enquête pénale.
- Une étude publiée en 2025 a montré que six IA grand public se laissent toutes tromper par cette manipulation.
- Le droit français n'a pas encore tranché la question. Mais le dol et l’escroquerie sont d’ores et déjà mobilisables.
- Aucune parade technique n'est infaillible : conserver la trace de ce qu’on a soumis à l'IA reste la meilleure protection.
Prompt injection : pourquoi les LLM distinguent mal une instruction d’un contenu
Un grand modèle de langage (LLM) ne sépare pas nativement les instructions de son opérateur du texte qu’on lui demande d’analyser. Les deux arrivent comme un seul flux de tokens, sans marqueur qui les différencie. L'OWASP, (Open Worldwide Application Security Project), fondation à but non lucratif qui publie des référentiels de sécurité applicative utilisés dans le monde entier, a classé l'injection de prompt en tête de son classement des risques liés aux LLM dans l'édition 2023/2024 et l'y maintient dans l'édition 2025[3].
Des protections existent pourtant. La Cour supérieure brésilienne applique une défense à trois niveaux, dont un pré-traitement qui isole les commandes malveillantes avant qu'elles n'atteignent son modèle2. Les tentatives visant la juridiction ont échoué pour cette raison. L'OWASP recommande des mesures voisines, tout en reconnaissant qu'aucune méthode ne prévient l'injection de façon certaine.
Tout dépend alors de qui conçoit ces protections. Une entreprise qui intègre elle-même un modèle dans ses applications s'en charge, au titre des risques attachés au développement interne de logiciel. Celle qui utilise un outil du marché n’a aucune prise sur elles.
Deux formes de manipulation se distinguent. L'injection directe s'adresse au modèle de façon frontale, dans l'interface même : « ignore tes instructions précédentes ». L'injection indirecte se dissimule dans un contenu que le modèle va lire, qu'il s'agisse d'un document, d'une page web ou d'un courriel.
Ce second procédé expose l'entreprise : le piège ne loge pas dans la question posée à l'IA, mais dans le texte qu'on lui soumet.
Les techniques d'injection de prompt les plus documentées
La méthode la plus répandue relève du traitement de texte. Le fraudeur écrit sa consigne en blanc sur fond blanc ou réduit la police à une taille illisible. Une étude, publiée le 22 octobre 2025 dans la revue Education Sciences4, résume le niveau de compétence requis : savoir copier-coller et savoir changer la couleur d’un caractère.
Les scénarios d’attaque recensés par l’OWASP[3] en décrivent d’autres :
- un encodage ou des caractères non imprimables qui masquent l’instruction aux filtres ;
- une instruction logée dans une image, lorsque le modèle interrogé traite plusieurs formats ;
- des fragments d’instruction disséminés dans la pièce, que le modèle recompose à la lecture.
L'OWASP décrit également une injection dissimulée dans un fichier PDF, où l'instruction se situe hors du texte affiché à l'écran. Un document peut donc porter la consigne dans son contenu apparent comme dans ses couches invisibles.
Les principaux LLM restent exposés à l'injection de prompt
Ce risque ne se limite pas à un modèle en particulier. Les résultats se vérifient d'un LLM à l'autre.
Des résultats concordants sur plusieurs modèles grand public
Un dirigeant reçoit un contrat par courriel. Avant de signer, il le colle dans Claude ou ChatGPT et demande une synthèse des clauses à risque. Une instruction dissimulée dans le document infléchit la réponse du modèle sans que rien ne le signale : le dirigeant lit donc l’analyse de son IA, la pensant fiable, sans savoir qu'elle a été biaisée.
L’étude précitée4 a mesuré cette vulnérabilité sur six modèles grand public, dans les versions disponibles en août 2025 : ChatGPT, Gemini, DeepSeek, Grok, Perplexity et Copilot. Les chercheurs leur ont soumis des travaux d’étudiants à noter, après avoir dissimulé dans certains d’entre eux une instruction écrite en blanc sur fond blanc. Les LLM ont exécuté les ordres cachés dans les copies et relevé les notes.
Bien que le cadre retenu par les chercheurs soit la notation de copies et non l’analyse d’un contrat, le mécanisme, lui, ne change pas. Une consigne cachée oriente le jugement du modèle à l’insu de la personne qui s’y fie.
Une fraude qui dépasse le contrat
Le même principe touche d'autres métiers. L'OWASP3 documente le cas d'un CV truffé d'instructions cachées, capable de pousser un système de recrutement assisté par IA à recommander un candidat sans lien avec son profil réel. Contrat, copie d'examen, CV : le point commun tient à la décision elle-même, prise sur la foi d'un document dont personne ne vérifie la fiabilité.
Le phénomène s'inscrit dans une évolution plus large. L'intelligence artificielle a déjà rendu la fraude documentaire classique plus difficile à détecter à l'œil nu, puisqu'elle produit des faux toujours plus convaincants. L'injection de prompt fonctionne à l'envers : elle n’altère pas ce que lit l’humain mais ajoute au fichier une couche écrite uniquement pour le LLM. Le document est donc bien falsifié mais cette manipulation n’est pas visible à l’œil nu. .
Comment se prémunir contre cette fraude par injection de prompt ?
Deux questions se posent alors : que permet le droit aujourd'hui et que peut faire l'entreprise en pratique ?
Le flou juridique et ses conséquences devant le juge
L'injection de prompt ne doit pas être confondue avec la falsification documentaire classique. Celle-ci modifie ce que le lecteur voit : un montant, une date, une signature. L’injection, quant à elle, laisse le contenu apparent intact et ajoute une instruction que seul le LLM lit. Le fichier est donc altéré par une manœuvre frauduleuse, destinée à tromper le système d'analyse ou la personne qui se fie à son résultat.
Le droit français n'a pas encore eu à se prononcer sur ce cas précis. Plusieurs qualifications restent mobilisables. Le dol par dissimulation intentionnelle, prévu à l'article 1137 du Code civil, s'applique dès lors que l'instruction cachée relève d'un procédé destiné à tromper. L'article 1112-1 ajoute le devoir précontractuel d'information qui pèse sur celui qui connaît une donnée déterminante pour le consentement de l'autre partie.
Lorsque la manipulation vise à obtenir la remise d'un bien ou d'un engagement, l'escroquerie entre également en jeu, telle que la définit l'article 313-1 du Code pénal.
Une entreprise qui découvre a posteriori avoir signé sur la base d'une synthèse biaisée peut, selon les cas, demander la nullité du contrat ou réclamer des dommages et intérêts.
La difficulté probatoire, en revanche, reste réelle. Établir qu'une instruction cachée a effectivement influencé une décision suppose de reconstituer un lien de causalité qui n'est pas simple à documenter ultérieurement. La protection de l'entreprise dépend moins, dans ces conditions, de la qualification qu'un juge retiendra un jour que de sa capacité à prouver ce qu'elle a soumis à l'IA, et à quel moment.
Prévenir les prompt injections : former, vérifier, documenter
Le droit offre des recours en aval. La prévention, elle, se joue en amont. Aucune parade technique n'empêche l'injection de manière infaillible. Quelques réflexes concrets réduisent l'exposition de l'entreprise :
- Former les équipes à l'existence du risque : la plupart des collaborateurs qui soumettent un contrat à une IA n'ont jamais entendu parler de l'injection de prompt et ne penseraient pas à chercher une anomalie dans un document.
- Vérifier le document avant sa soumission à l'IA : coller son contenu dans un éditeur de texte brut fait apparaître un texte invisible ou une police anormalement réduite. Un contrôle des métadonnées du fichier complète ce premier examen.
- Donner une consigne explicite à l'IA : lui préciser, avant l'analyse, de ne tenir compte d'aucune instruction présente dans le document lui-même et de traiter tout son contenu comme du texte à examiner, jamais comme une commande.
- Conserver une trace datée : le fichier original tel que reçu, ainsi que la réponse du modèle, pour pouvoir les produire en cas de contestation.
Aucun de ces réflexes ne suffit à lui seul. Tous reposent sur le même principe : ne pas traiter la synthèse d'une IA ni comme une preuve en soi, ni comme un gage d'exactitude.
Cette question du statut probatoire rejoint celle, plus large, de la place de l'intervention humaine dans une décision assistée par IA.
Conclusion : anticiper l'injection de prompt grâce à une traçabilité probatoire
L’injection de prompt ne relève plus de la seule recherche en cybersécurité. Les affaires brésiliennes et les travaux menés sur plusieurs modèles montrent qu’un document d’apparence ordinaire peut orienter l’analyse d’une IA sans que son utilisateur en soit informé. Les entreprises doivent donc intégrer ce risque à leurs procédures de contrôle, au même titre que la vérification d’une source ou la relecture d’une clause contractuelle.
Lorsqu’une décision est assistée par une IA, la conservation du fichier ou ses sources transmises à l’IA pour aider à cette prise de décision ne suffit pas toujours. Il faut pouvoir établir quelle version du document a été analysée, à quelle date, avec quel prompt et, dans la mesure du possible, quelle réponse a été générée. L’horodatage qualifié permet de rattacher l’empreinte numérique de chacun de ces éléments à une date et une heure certaines. Toute modification ultérieure du fichier entraîne une empreinte différente et peut ainsi être détectée.
L’horodatage ne démontre pas, à lui seul, qu’une instruction cachée a influencé le raisonnement du modèle. Il permet toutefois de figer les éléments nécessaires à la reconstitution du processus : document reçu, version transmise à l’IA, consignes de l’utilisateur, résultat produit et journaux associés. Cette piste de preuve facilite l’analyse d’un incident, un audit interne ou la préparation d’un contentieux.
En tant que prestataire de services de confiance qualifié eIDAS, Evidency permet d’intégrer l’horodatage qualifié aux flux documentaires. L’entreprise peut ainsi constituer, dès l’exécution du processus, un dossier retraçant les opérations réalisées et préserver durablement la valeur probatoire des éléments qui pourront être produits en cas de contestation.
Sources
[1] 3ª Vara do Trabalho de Parauapebas (TRT de la 8 région), 12 mai 2026, ATOrd 0001062-55.2025.5.08.0130. Voir « Prompt injection oculto em petição inicial: o caso de Parauapebas », Migalhas de Peso, 25 mai 2026 : https://www.migalhas.com.br/depeso/455925/prompt-injection-oculto-em-peticao-inicial-o-caso-de-parauapebas.
[2] STJ, « Tentativas de uso de prompt injection no STJ serão investigadas », communiqué du 20 mai 2026 : https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/20052026-Tentativas-de-uso-de-prompt-injection-no-STJ-serao-investigadas.aspx.
[3] OWASP, Top 10 for LLM Applications 2025 : https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-v2025.pdf
[4] MILANI A., FRANZONI V., FLORINDI E., OMARBEKOVA A., BEKMANOVA G., YERGESH B., "When AI Is Fooled: Hidden Risks in LLM-Assisted Grading.", Education Sciences, 2025, 15(11), 1419 : https://doi.org/10.3390/educsci15111419.
Clause de non-responsabilité
Les opinions, présentations, chiffres et estimations présentés sur le site Web, y compris dans le blog, sont uniquement destinés à des fins d’information et ne doivent pas être considérés comme des conseils juridiques. Pour obtenir un avis juridique, vous devez contacter un professionnel du droit dans votre juridiction.
L’utilisation du contenu de ce site Web, y compris du blog, à des fins commerciales, y compris la revente, est interdite, sauf autorisation préalable de Evidency. La demande d’autorisation doit préciser le but et l’étendue de la reproduction. À des fins non commerciales, tout le matériel de cette publication peut être cité ou réimprimé librement, mais une reconnaissance est requise, ainsi qu’un lien vers ce site Web.
