L'OWASP dit que l'injection de prompt n'est pas résolue. La configuration ne vous sauvera pas.
L'industrie de la sécurité a passé deux ans à traiter l'injection de prompt comme un bug : quelque chose qu'un bon filtre, un système de prompt plus strict ou la prochaine version de modèle finirait par nettoyer. Ce cadrage est confortable parce qu'il implique que le problème a un propriétaire et une date de correctif. Il se trouve aussi qu'il est faux, et les gens les plus proches du problème ont commencé à le dire tout haut.
Sauf que l'histoire venue d'Infosecurity Europe, telle que rapportée par Infosecurity Magazine, n'est pas « nous avons trouvé un meilleur filtre ». C'est l'inverse. L'OWASP classe l'injection de prompt comme risque numéro un des applications LLM, et un chercheur de l'OWASP a profité d'une scène publique pour avertir qu'elle reste non résolue. Pas difficile. Pas partiellement atténuée. Non résolue. C'est un autre type de déclaration que ce que l'industrie a l'habitude d'entendre sur une vulnérabilité de tête, et cela devrait changer votre façon d'architecturer, pas seulement votre façon de vous inquiéter.
Parce que si l'autorité du domaine sur le risque LLM vous dit que le problème n'a pas de correctif au niveau du modèle, alors toute défense qui suppose un correctif à venir est bâtie sur du sable.
« Non résolue » est une donnée d'entrée de conception, pas un avertissement
La plupart des gens entendent « non résolue » et la classent dans les mauvaises nouvelles à gérer. C'est le mauvais classement. Non résolue est un fait architectural, et cela dicte ce qu'une conception responsable a le droit de supposer.
L'injection de prompt n'est pas résolue pour une raison structurelle, pas une raison de maturité. Un modèle de langage lit un flux unique de tokens et ne peut pas séparer de façon fiable les instructions que vous lui avez données du contenu qu'on lui a demandé de traiter. Quand il lit un document, le texte du document et vos commandes arrivent par le même canal, et le modèle n'a aucun moyen privilégié de savoir lequel est lequel. C'est pourquoi le problème résiste au patch : c'est une propriété de la façon dont le modèle lit, pas un défaut d'un modèle particulier.
La couverture de Help Net Security sur le même matériel OWASP décrit crûment les échecs alentour, et le fil est cohérent. La surface d'attaque ne rétrécit pas à mesure que les modèles s'améliorent. Elle grandit à mesure qu'ils sont câblés à davantage d'outils. Les rapports cités à côté de l'avertissement OWASP pointent une forte hausse annuelle de ces attaques, exactement ce à quoi on s'attendrait si la faiblesse sous-jacente est structurelle et que le nombre d'agents déployés grimpe.
L'hypothèse de planification honnête n'est donc pas « l'injection sera réduite à un taux acceptable ». C'est « l'injection réussira parfois, et mon architecture doit rester sûre quand ça arrivera ». Tout le reste découle de l'acceptation de cette phrase plutôt que de sa contestation.
La configuration n'est pas une frontière
C'est ici que la plupart des défenses d'entreprise échouent discrètement. Face à un problème non résolu, les équipes saisissent la configuration : un meilleur system prompt, un délimiteur autour du texte non fiable, un classifieur réglé pour signaler les entrées suspectes. Ça aide, et vous devriez l'utiliser. Mais rien de tout cela n'est une frontière. Ce sont des réducteurs de probabilité, et un réducteur de probabilité appliqué à un problème structurellement non résolu abaisse le taux d'échec sans jamais atteindre zéro.
La raison pour laquelle la configuration ne suffit pas est devenue concrète en 2026. La CVE-2025-6514, avec un score CVSS de 9,6, a été divulguée dans l'infrastructure MCP de base : exécution de code à distance dans la plomberie qui relie les agents aux outils. Et Microsoft a documenté, dans sa recherche « when prompts become shells », comment l'injection de prompt cesse d'être un problème de texte pour devenir une primitive d'exécution de code dès qu'un agent est câblé à de vrais outils. C'est l'escalade qui compte. Sur un chatbot, une injection réussie produit une mauvaise phrase. Sur un agent doté d'outils, la même injection produit une action, et si la plomberie a une RCE, elle produit du code arbitraire qui tourne dans votre environnement.
Aucun réglage de system prompt ne répond à cela. L'écart entre « le modèle a dit quelque chose de faux » et « l'agent a fait quelque chose de faux » n'est pas comblé par la configuration, parce que le danger n'est pas ce que le modèle croit. C'est ce que le modèle a le droit de faire une fois qu'il le croit. Un classifieur qui rate une entrée façonnée n'a pas dégradé en douceur. Il a remis à un attaquant les outils qui se trouvent derrière.
Un problème structurel exige une réponse structurelle
Si le problème ne peut pas être résolu au niveau du modèle, le seul geste responsable est de cesser d'essayer de rendre le modèle digne de confiance et de commencer à rendre ses erreurs inoffensives. C'est un passage de la probabilité à la structure, et il a une forme précise.
Une frontière de contamination. Les données non fiables, tout ce que l'agent a lu plutôt qu'écrit, sont marquées et ne peuvent jamais devenir un privilège exécutable. Ce n'est pas un filtre que du contenu non fiable pourrait franchir. C'est une règle sur ce que du contenu non fiable a structurellement le droit de devenir, appliquée par le système plutôt qu'espérée du modèle.
Le motif dual-LLM CaMeL. Scindez le travail entre deux modèles. Un planificateur privilégié planifie et appelle les outils mais ne lit jamais de contenu non fiable. Un lecteur en quarantaine lit le document empoisonné et en extrait ce qu'il faut, mais ne détient aucun outil et ne peut pas agir. Au moindre doute, le motif échoue en fermé. Le composant qui voit l'attaque n'a pas de mains, et le composant qui a des mains ne voit jamais l'attaque. Là où un classifieur réduit les chances de confusion, ceci supprime la capacité d'agir dessus.
Une identité non humaine à moindre privilège. Chaque agent tourne sous sa propre identité éphémère et cadrée, avec une allow-list de sortie explicite, de sorte qu'une injection réussie commande un acteur qui ne peut exécuter qu'une poignée d'actions nommées vers une poignée de destinations permises. Un agent volé ou détourné ne vaut presque rien parce qu'il n'y a pas de pouvoir permanent à abuser.
La défense en profondeur. Aucune de ces couches n'est censée tenir seule. Elles sont empilées pour qu'un contournement de l'une atterrisse sur la suivante, précisément parce que « non résolue » veut dire que n'importe quel contrôle isolé finira par être battu par quelque chose d'inédit.
Remarquez ce qui unit les quatre. Aucune n'essaie de rendre le modèle résistant à l'injection. Chacune suppose que l'injection réussit et s'assure que ce succès ne fait rien de conséquent. Voilà à quoi ressemble une réponse structurelle à un problème structurel.
Le recadrage
La question que l'industrie continue de poser, celle qui mène droit à un classifieur de plus, est « comment arrêter l'injection de prompt ? ». L'OWASP vient d'y répondre : vous ne l'arrêtez pas, pas au niveau du modèle, pas encore, peut-être jamais. Organiser votre défense autour de sa résolution, c'est organiser autour d'une solution qui n'existe pas.
La meilleure question est celle-ci. Quand une injection réussit, et l'OWASP nous dit qu'elle réussira, qu'est-ce que notre architecture l'empêche structurellement de faire ? Si la réponse est « ça dépend du classifieur qui l'attrape », vous n'avez pas une frontière, vous avez un pari. Si la réponse est « le composant qui a lu l'attaque n'a aucune capacité d'agir, et l'acteur qui peut agir tourne sous une identité cadrée sur presque rien », vous avez contenu un problème non résolu au lieu de faire semblant qu'il est résolu.
La couche modèle ne vous sauvera pas. La configuration ne vous sauvera pas. La structure est la seule chose qui tient quand ce contre quoi vous vous défendez n'a pas de correctif.
Si vous voulez confronter vos agents en production aux quatre contrôles structurels et trouver où une injection réussie atteindrait réellement, prenez rendez-vous et apportez-nous celui qui est câblé au plus d'outils.