PROMPT INJECTION
(13)13 hack(s).
Injection de prompt « drive-by » : un site pouvait piloter Copilot en silence sur mobile
Microsoft a corrigé le 14 juillet 2026 une faille critique : une page malveillante pouvait faire envoyer par Edge pour Android des prompts cachés à l'application Copilot, sans confirmation ni contrôle d'origine.
Injection par marqueur d'autorité visuel : faux en-têtes « SYSTEM: » dans les images
Un texte mis en forme comme un en-tête de prompt système — SYSTEM:, ADMIN OVERRIDE: — rendu dans une image peut amener un modèle vision-langage à le traiter comme une instruction privilégiée. Une convention typographique déguisée en structure d'API.
La taxonomie d'injection de prompt de CrowdStrike dépasse 200 techniques
Le 7 juillet 2026, CrowdStrike a ajouté 18 entrées à sa taxonomie d'injection de prompt — désormais plus de 200 techniques. Cinq nouvelles classes montrent comment les attaques se cachent dans des déclencheurs différés, des jetons de contrôle falsifiés et des données de contexte de confiance.
Le fossé de sûreté multilingue dans les défenses anti-injection
Une étude de juin 2026 montre que les requêtes non anglophones et les encodages légers déjouent bien plus souvent l'alignement de sûreté des LLM — la même attaque, traduite, obtient plus de complaisance.
L'injection de prompt automatisée dépend du modèle : TAP devance GCG, GPT-5 résiste
Une étude de l'ETH Zurich du 9 juin 2026 adapte GCG et TAP à AgentDojo sur 80 paires de tâches d'agent. Le TAP en boîte noire bat le GCG par gradient, mais les attaques calibrées sur de petits modèles ne se transfèrent pas à GPT-5.
Reprompt : exfiltration en un clic depuis Copilot Personal via prompt prérempli dans l'URL
Une faille corrigée de Copilot Personal enchaînait un prompt prérempli dans l'URL, un garde-fou qui ne vérifiait que la première requête, et des relances pilotées par serveur, pour une exfiltration furtive en un clic. Les leçons de contournement sont générales.
Plugins de chatbot web : comment des widgets non sécurisés amplifient l'injection de prompt
Une étude IEEE S&P 2026 portant sur 17 plugins de chatbot répartis sur plus de 10 000 sites révèle des historiques de conversation falsifiables (injections 3 à 8x plus fortes) et des outils de scraping qui mélangent contenu de confiance et contenu non fiable.
ASPI : demander une clarification élargit la surface d'injection
Un benchmark arXiv du 17 mai 2026 montre que lorsqu'un agent s'interrompt pour demander une précision à l'utilisateur, le taux de réussite des injections passe de moins de 2 % à plus de 34 % sur o3 et Gemini-3-Flash.
Prompt injection dans la nature : attaques cachées dans le tri de CV par LLM
Une étude USENIX Security 2026 portant sur 196 682 CV réels révèle qu'environ 1 % contiennent des injections de prompt cachées — et plus de 90 % sont des « injections de données » invisibles, pas les instructions explicites que cherchent les détecteurs actuels.
Injection de prompt encodée : quand les garde-fous échouent parce que le LLM décode le payload
Le 4 mai 2026, un tweet rédigé en code Morse a vidé environ 175 000 $ d'un portefeuille crypto piloté par Grok. L'incident est la démonstration la plus coûteuse à ce jour d'un angle mort défensif déjà connu — un filtre par appariement de chaînes ne voit pas à travers les encodages que le modèle lui-même décode volontiers.
Injection par font-mapping : le peer review devient une surface d'attaque LLM
Un benchmark arXiv du 25 mai 2026 montre que des payloads dissimulés par font-mapping font passer des reviews LLM de reject à accept. ICML 2026 a déjà utilisé la même technique en miroir pour rejeter 497 articles.
Copirate 365 : chaîner injection de prompt, invocation différée d'outils et empoisonnement de mémoire dans M365 Copilot (CVE-2026-24299)
Le compte-rendu DEF CON de Johann Rehberger, publié en mai 2026, déroule une chaîne d'injection indirecte en cinq étapes qui transforme un courriel piégé en backdoor persistante dans Microsoft 365 Copilot. Patchée, mais les patterns sont génériques.
ASCII Smuggling : commandes cachées via les caractères Unicode Tag
Les caractères Unicode Tag (U+E0000–U+E007F) sont invisibles pour les humains mais interprétés par les LLM. Les attaquants les intègrent dans des emails, pages web et PDF pour injecter des commandes silencieuses qui détournent le comportement des agents.