Prompt hijacking : le nouveau cauchemar de la sécurité IA

L’intelligence artificielle est en train de devenir notre nouveau copilote de confiance. Elle nous aide à écrire du code, à analyser des données et à automatiser des tâches complexes. Pour la rendre encore plus performante, les entreprises la connectent directement à leurs outils et à leurs informations internes.

Une collaboration qui s’annonce prometteuse, mais qui cache une nouvelle menace.

Que se passerait-il si ce copilote si serviable prenait secrètement ses ordres ailleurs ? C’est le danger du « prompt hijacking », une attaque insidieuse qui ne vise pas l’IA elle-même, mais les canaux de communication qui la nourrissent. Cet article décortique cette nouvelle vulnérabilité, comprend son fonctionnement et, surtout, indique comment s’en prémunir.

L’IA, un copilote puissant mais vulnérable

Pour bien comprendre le problème, il faut d’abord saisir une limite essentielle des grands modèles de langage (LLM) comme ceux de Google ou d’OpenAI. Ces IA sont incroyablement intelligentes, mais elles sont aussi isolées. Elles ne connaissent que les données sur lesquelles elles ont été entraînées et n’ont aucune conscience du contexte en temps réel, comme le fichier sur lequel vous travaillez ou le code que vous êtes en train d’écrire.

Le rêve d’une collaboration idéale

C’est là qu’interviennent des protocoles comme le MCP (Model Context Protocol), initialement développé par Anthropic. Le MCP agit comme un pont sécurisé entre le cerveau de l’IA et votre environnement de travail.

C’est grâce à lui que vous pouvez pointer une portion de code et demander à votre assistant de l’améliorer, car il lui fournit le contexte nécessaire pour comprendre votre demande. Cette connexion directe transforme l’IA d’un simple outil de conversation en un véritable partenaire de travail intégré.

Le revers de la médaille : une nouvelle surface d’attaque

Cependant, en ouvrant cette porte vers nos données et nos outils, nous créons inévitablement de nouvelles failles de sécurité. Des chercheurs de l’entreprise JFrog ont récemment mis en lumière une vulnérabilité critique de type « prompt hijacking » dans une implémentation spécifique du protocole MCP. Cette découverte est un signal d’alarme : le plus grand risque ne réside peut-être pas dans l’IA elle-même, mais dans la manière dont nous la connectons au reste de notre système d’information.

Anatomie d’une attaque : comment fonctionne le prompt hijacking ?

Imaginons un scénario concret. Un développeur demande à son assistant IA de lui recommander une bibliothèque Python fiable pour le traitement d’images.

En temps normal, l’IA suggérerait « Pillow« , un choix standard et sécurisé. Mais avec une attaque de prompt hijacking, les choses se passent très différemment.

À l’insu du développeur, un attaquant a exploité une faille et s’est immiscé dans la conversation. L’IA, trompée, répond alors en suggérant un paquet malveillant nommé « BestImageProcessingPackage« .

Le développeur, faisant confiance à son assistant, installe le paquet piégé, ouvrant ainsi la porte à une injection de code, un vol de données ou l’exécution de commandes à distance. C’est une attaque redoutable sur la chaîne d’approvisionnement logicielle (software supply chain).

La faille technique expliquée simplement

La vulnérabilité spécifique découverte par JFrog (référencée CVE-2025-6515) se situe dans la mise en œuvre du MCP par le framework C++ Oat++. Le problème vient de la gestion des sessions de communication.

Lorsqu’un utilisateur se connecte, le serveur doit lui attribuer un identifiant de session unique et sécurisé. Or, dans cette version défaillante, le système utilisait l’adresse mémoire de la session comme identifiant. C’est une très mauvaise pratique, car les systèmes d’exploitation réutilisent constamment les adresses mémoire pour optimiser les ressources.

Un attaquant peut alors en profiter : il crée et ferme rapidement un grand nombre de sessions pour collecter ces identifiants prévisibles. Plus tard, lorsqu’un utilisateur légitime se connecte, il y a une chance qu’on lui attribue une de ces adresses mémoire « recyclées » que l’attaquant connaît déjà.

Les conséquences : bien plus qu’une simple mauvaise réponse

Une fois que l’attaquant possède un identifiant de session valide, il peut envoyer ses propres requêtes au serveur, qui les traitera comme si elles venaient de l’utilisateur légitime. Le serveur, incapable de faire la différence, relaie les réponses malveillantes à la victime.

L’attaquant peut ainsi manipuler le comportement du modèle sans jamais toucher à l’IA elle-même. Cette attaque est particulièrement dangereuse car elle est invisible pour l’utilisateur, qui croit interagir normalement avec son assistant.

Protéger votre écosystème IA : 3 piliers essentiels

La découverte de cette faille est un avertissement pour tous les responsables techniques (CTO) et de la sécurité (CISO). À mesure que l’IA s’intègre dans nos flux de travail, la sécurisation de son périmètre devient une priorité absolue. Voici trois axes stratégiques pour vous défendre contre le prompt hijacking et les menaces similaires.

1. Renforcer la gestion des sessions côté serveur

La première ligne de défense est la plus importante. Vos équipes de développement doivent s’assurer que tous les services d’IA utilisent une gestion de session robuste.

Cela signifie générer des identifiants de session à l’aide de générateurs de nombres aléatoires cryptographiquement forts. L’utilisation d’identifiants prévisibles, comme les adresses mémoire, doit être formellement proscrite et figurer sur toutes les checklists de sécurité pour les applications IA.

2. Durcir la validation côté client

La sécurité est une responsabilité partagée. Les applications clientes (l’interface de l’assistant IA, par exemple) ne doivent pas faire une confiance aveugle au serveur.

Elles doivent être conçues pour rejeter systématiquement tout événement ou message qui ne correspond pas aux identifiants ou aux types de réponses attendus. Les identifiants d’événements simples et incrémentiels sont vulnérables et doivent être remplacés par des identifiants imprévisibles pour éviter les attaques.

3. Adopter une approche « Zero Trust » pour l’IA

Il ne suffit pas de sécuriser le modèle d’IA. Il faut auditer l’ensemble de l’écosystème : le modèle, les protocoles qui le connectent, et les middlewares qui font le lien avec les données.

Appliquez les principes du « zéro confiance » à ces canaux de communication. Ils doivent bénéficier de mécanismes de séparation et d’expiration de session aussi stricts que ceux utilisés pour les applications web les plus critiques.

Le prompt hijacking nous rappelle une leçon importante de la cybersécurité : une nouvelle technologie amène souvent d’anciennes menaces sous une nouvelle forme. Cette attaque est, au fond, une réincarnation du « session hijacking » que l’on connaît bien dans l’univers du web.

La sécurisation de l’IA de demain passera par une application rigoureuse des bonnes pratiques de sécurité d’aujourd’hui, en portant une attention toute particulière aux protocoles qui servent de pont entre l’IA et notre monde. Et vous, comment sécurisez-vous les nouvelles intégrations IA dans votre entreprise ?

Simone

Simone, rédactrice principale du blog, est une passionnée de l’intelligence artificielle. Originaire de la Silicon Valley, elle est dévouée à partager sa passion pour l’IA à travers ses articles. Sa conviction en l’innovation et son optimisme sur l’impact positif de l’IA l’animent dans sa mission de sensibilisation.