Qu'est-ce que l'injection de prompt indirecte ?
Imaginez que vous demandiez à votre assistant IA d'analyser un document que vous venez de télécharger. L'IA s'exécute normalement, fait son travail en apparence. Sauf qu'en coulisse, elle vient d'envoyer vos fichiers confidentiels à un inconnu. Vous ne recevez aucune alerte. Aucune notification. Rien.
Ce scénario n'est pas de la science-fiction. Il s'est produit en conditions réelles en janvier 2026, avec Claude Cowork, l'agent IA d'Anthropic. Et il peut toucher n'importe qui utilisant une IA connectée à ses fichiers ou à son navigateur.
Pour comprendre cette attaque, il faut d'abord comprendre comment fonctionne une IA comme ChatGPT, Claude ou Copilot. Ces outils lisent du texte, des documents, des pages web, et exécutent des instructions exprimées en langage naturel. C'est précisément leur force. Et c'est aussi leur talon d'Achille.
L'injection de prompt indirecte (en anglais "indirect prompt injection") consiste à cacher des instructions malveillantes dans un contenu que l'IA va lire. Un document Word, une page web, un email, un fichier PDF. Ce contenu contient un message invisible pour vous, mais parfaitement lisible par l'IA. Un message qui lui dit quoi faire.
Concrètement, un pirate peut écrire des instructions en blanc sur fond blanc dans un document, avec une police de caractère de 1 point et un interligne de 0,1. Impossible à détecter à l'œil nu. L'IA, elle, lit tout.
Quand votre assistant IA tombe sur ce contenu, il interprète ces instructions cachées exactement comme si elles venaient de vous. Et il les exécute.
⚠️ Attention
L'injection de prompt indirecte est classée numéro 1 des vulnérabilités des systèmes IA par l'OWASP (l'organisme mondial de référence en sécurité informatique) dans son rapport 2025. Elle est présente dans 73% des déploiements IA professionnels audités.
L'affaire Claude Cowork : quand la faille devient réelle
Le 13 janvier 2026, Anthropic lance Claude Cowork en avant-première, un agent IA capable d'accéder à votre bureau, lire et organiser vos fichiers, naviguer sur le web, envoyer des messages, exécuter des tâches automatisées sur votre ordinateur.
Deux jours plus tard, le 15 janvier 2026, l'entreprise de sécurité PromptArmor publie une démonstration qui fait l'effet d'une bombe. Leurs chercheurs ont réussi à faire voler des fichiers confidentiels par Cowork, sans que l'utilisateur n'ait à cliquer sur quoi que ce soit ni à approuver quoi que ce soit.
La technique utilisée est simple à comprendre. Un attaquant crée un document contenant une injection de prompt cachée. Il place ce document sur un forum, un site de téléchargement, n'importe quel endroit où des utilisateurs de Cowork pourraient le récupérer. Quand la victime télécharge ce fichier et le confie à Cowork pour analyse, l'IA lit les instructions cachées et les exécute. Elle envoie alors les fichiers les plus volumineux du dossier vers le compte Anthropic de l'attaquant, via une commande technique appelée "curl" vers l'API de téléchargement d'Anthropic.
La faille repose sur un détail architectural. Cowork s'exécute dans un environnement isolé qui bloque la plupart des connexions internet. Mais les serveurs d'Anthropic sont considérés comme "de confiance" et donc accessibles librement. Les pirates ont exploité exactement cette exception pour sortir des données sans déclencher aucune alerte.
📊 Chiffres clés
- Selon les spécifications de l'API d'Anthropic, la technique permet d'exfiltrer jusqu'à 30 Mo par fichier, sans limite sur le nombre de fichiers volés.
- Aucune approbation de l'utilisateur n'est requise à aucune étape de l'attaque.
Ce qui est particulièrement choquant dans cette histoire
La faille n'était pas nouvelle. Le chercheur en sécurité Johann Rehberger avait découvert et signalé la vulnérabilité à Anthropic via la plateforme HackerOne dès le 25 octobre 2025, soit près de trois mois avant le lancement de Cowork. Anthropic a fermé son rapport une heure après l'avoir reçu, en le classant "hors périmètre" et en l'interprétant comme un problème de sécurité du modèle IA plutôt qu'une vraie faille de sécurité.
Cinq jours plus tard, Anthropic a rouvert le dossier et reconnu que "les vulnérabilités d'exfiltration de données sont effectivement dans notre périmètre de responsabilité". Mais quand Cowork a été lancé le 13 janvier 2026, la faille n'avait toujours pas été corrigée.
Deux autres vulnérabilités officielles ont également été documentées sur Claude Cowork et Claude Code. La première, identifiée sous la référence CVE-2025-59536 avec un niveau de gravité de 8,7 sur 10, permettait à un attaquant d'exécuter du code à distance en plaçant un fichier de configuration malveillant dans un dépôt GitHub. La seconde, CVE-2026-21852, permettait de détourner les clés API d'Anthropic pour rediriger des requêtes vers des serveurs contrôlés par des pirates. Toutes deux ont été corrigées, respectivement en octobre 2025 et janvier 2026. Mais le problème structurel de l'injection de prompt, lui, reste ouvert.
"Je ne pense pas qu'il soit juste de dire aux utilisateurs non-programmeurs de faire attention aux actions suspectes pouvant indiquer une injection de prompt."
— Simon Willison, développeur indépendant reconnu, en réaction aux recommandations d'Anthropic aux utilisateurs de Cowork
Pourquoi ce problème est difficile à résoudre
La faille n'est pas un bug qu'on peut corriger avec une mise à jour. C'est un problème architectural fondamental lié à la manière dont les IA fonctionnent.
Un grand modèle de langage, c'est le terme technique pour désigner ces IA, traite toutes les informations qu'il reçoit comme un seul flux continu de texte. Il ne fait pas vraiment la différence entre vos instructions légitimes et des instructions cachées dans un document qu'il est en train de lire. Pour lui, tout est du texte, et tout texte peut contenir une instruction.
OpenAI a reconnu ce problème publiquement en décembre 2024 dans un article de blog sur la sécurité de son navigateur IA Atlas : "L'injection de prompt, tout comme les arnaques et l'ingénierie sociale sur le web, ne sera probablement jamais entièrement résolue."
Google tient le même discours pour ses propres agents IA. La protection passe par des couches de défense superposées, pas par une solution unique.
Qui est vraiment exposé ?
L'affaire Cowork n'est pas un cas isolé. En août 2024, des chercheurs ont démontré une vulnérabilité dans Slack AI permettant d'exfiltrer des données privées en injectant des instructions malveillantes dans de simples messages Slack. La victime n'avait qu'à ouvrir un message avec son assistant IA pour déclencher l'attaque.
La même année, des chercheurs ont montré comment injecter des instructions dans les CV analysés par des IA de recrutement. Dans un cas documenté, un candidat avait caché de fausses compétences dans du texte gris clair sur fond blanc dans son CV. L'IA a lu ces informations et attribué un score plus élevé au candidat, ignorant le contenu réel du document.
En mai 2024, des chercheurs ont exploité les capacités de navigation web de ChatGPT en empoisonnant des pages web avec des instructions cachées, forçant l'IA à extraire et transmettre des informations confidentielles présentes dans d'autres onglets ouverts du navigateur.
Microsoft a également subi une démonstration d'attaque via Copilot, l'assistant IA intégré à ses produits Office, en décembre 2025. Une faille baptisée "EchoLeak" et référencée CVE-2025-32711, avec un niveau de gravité de 9,3 sur 10, a été découverte dans Microsoft 365 Copilot avant d'être corrigée.
💡 À retenir
Ces attaques ne demandent aucune action particulière de la victime. Pas besoin de cliquer sur un lien suspect, de télécharger un logiciel malveillant, ni de fournir un mot de passe. Il suffit que votre IA lise un contenu piégé.
Qui est vraiment exposé ?
En théorie, tout le monde utilisant un assistant IA connecté à des fichiers ou à internet peut être touché. En pratique, le risque est proportionnel à ce que votre IA peut faire en votre nom.
Un simple chatbot qui répond à des questions présente peu de risques : au pire, l'IA donnera une réponse influencée par un contenu malveillant. Mais les agents IA modernes comme Cowork, les versions avancées de Copilot, ou les IA avec accès aux emails et calendriers sont une autre histoire. Ces outils peuvent envoyer des messages, télécharger des fichiers, exécuter des actions sur votre ordinateur. Une injection réussie contre ces outils peut avoir des conséquences très concrètes.
Selon un rapport de Cisco sur la sécurité IA publié début 2026, 83% des entreprises prévoient de déployer des agents IA, mais seulement 29% se disent prêtes à en sécuriser l'usage.
Ce que vous pouvez faire concrètement
Vous n'avez pas à devenir expert en cybersécurité pour réduire votre exposition. Quelques réflexes suffisent.
Ne connectez pas votre agent IA à des dossiers contenant des documents sensibles. Contrats, données financières, informations personnelles, documents clients. Si vous utilisez Cowork ou un outil similaire, créez un dossier de travail dédié, vide de toute information confidentielle.
Méfiez-vous des fichiers que vous téléchargez depuis des sources inconnues avant de les confier à votre IA. Un document Word partagé sur un forum, une "skill" ou un template trouvé sur un site tiers peut contenir une injection cachée. Ce n'est pas visible à l'œil nu.
Limitez l'extension navigateur de votre IA aux sites que vous connaissez et consultez régulièrement. Plus votre IA navigue librement, plus elle est susceptible de tomber sur une page web contenant des instructions malveillantes.
Observez le comportement de votre IA. Si elle accède à des fichiers que vous n'avez pas mentionnés, si elle semble vouloir envoyer des données quelque part, si une tâche dépasse largement ce que vous lui avez demandé, arrêtez et vérifiez.
Gardez vos outils à jour. Les deux vulnérabilités CVE identifiées sur Claude Code et Cowork ont été corrigées dans les versions récentes. Ne pas mettre à jour ses outils, c'est rester exposé à des failles déjà documentées et exploitables.
✅ Bonne pratique
Anthropic recommande officiellement dans sa documentation de ne pas utiliser Cowork pour des tâches impliquant des données sensibles, de limiter l'accès de Claude in Chrome aux sites de confiance, et de surveiller les comportements inhabituels. Ces recommandations valent pour tous les agents IA, quelle que soit la marque.
L'IA est puissante. Elle n'est pas infaillible.
Ces outils transforment réellement la façon de travailler. Gagner une heure par jour, automatiser des tâches répétitives, analyser des documents en quelques secondes. Les bénéfices sont réels et mesurables.
Mais confier à une IA l'accès à ses fichiers, ses emails, son calendrier et son ordinateur, c'est lui donner des clés. Et comme toute clé, elle peut tomber entre de mauvaises mains si on ne prend pas les précautions qui s'imposent.
Les chercheurs en sécurité sont unanimes : le problème n'est pas de ne pas utiliser ces outils. C'est de les utiliser en comprenant leurs limites. L'injection de prompt indirecte ne disparaîtra pas du jour au lendemain. Elle va évoluer, s'adapter, et les attaquants continueront d'en explorer les possibilités au fur et à mesure que ces outils gagneront en popularité et en pouvoir d'action.
Savoir que cette menace existe, comprendre comment elle fonctionne, et adopter quelques réflexes simples, c'est déjà se placer largement au-dessus de la majorité des utilisateurs.
Sources — PromptArmor, démonstration publique Claude Cowork, 15 janvier 2026 · The Register, "Anthropic's Files API exfiltration risk resurfaces in Cowork", 15 janvier 2026 · Prism News, "Researchers Chain Prompt Injection and Files API Flaws to Silently Steal Claude User Data", 25 mars 2026 · OWASP, LLM Top 10 2025 · OpenAI, blog sécurité Atlas, décembre 2024 · Cisco, State of AI Security 2026 · Lakera AI, "Indirect Prompt Injection", 2025