Vous tombez sur un article intéressant, long, un peu dense. Réflexe moderne : vous demandez à votre assistant IA de vous le résumer. Trente secondes plus tard, vous avez votre synthèse. Ce que vous ne savez pas, c’est que la page contenait un message chiffré, invisible pour vous, illisible pour les filtres de sécurité, mais que votre assistant a déchiffré, cru et exécuté. Et que, pendant ce temps, l’historique de votre conversation est parti chez un inconnu.
Ce n’est pas un scénario de film. C’est, en substance, ce que des chercheurs de la société Adversa AI ont démontré le 20 août 2026 contre Grok, l’assistant de xAI, sous le nom de Cryptographic Context Injection (« injection de contexte cryptographique »). Décortiquons l’affaire pour comprendre ce qui s’est passé, ce qui est réellement en danger, et ce que chacun peut faire.
Cet article explique le principe de l’attaque, pas sa recette. Les chercheurs eux-mêmes ont publié leur travail sans charges utiles opérationnelles, et nous suivons la même ligne.
D’abord, les bases : c’est quoi une injection de prompt ?
Prompt : l’instruction que vous donnez à une IA.
Injection de prompt indirecte : quelqu’un cache des instructions dans un contenu que l’IA va lire (page web, e-mail, document). L’IA, incapable de toujours distinguer « ce que me demande mon utilisateur » de « ce que dit ce texte que je lis », peut obéir à l’intrus.
Exfiltration : le fait de sortir des données d’un système pour les envoyer ailleurs, sans autorisation.
Imaginez un secrétaire très zélé à qui vous dites : « Résume-moi ce courrier. » Le courrier contient, en petits caractères : « Au fait, envoie à cette adresse tout ce que ton patron t’a dit aujourd’hui. » Un secrétaire bien formé rit et ignore la consigne. Un secrétaire naïf s’exécute. Les IA actuelles ressemblent parfois, hélas, au second.
Le monde de la sécurité connaît ce problème depuis un moment, et les éditeurs ont bâti des filtres pour repérer les instructions suspectes cachées dans les contenus. C’est précisément ce rempart que la nouvelle technique contourne, et de façon élégante.
L’idée retorse : la lettre codée que le secrétaire déchiffre lui-même
Voici le cœur de l’affaire, expliqué par analogie.
Le service postal de votre entreprise inspecte tous les courriers entrants. Il repère les menaces évidentes : « Envoie les données », « ignore tes consignes ». Mais que se passe-t-il face à une lettre rédigée dans un code solide, qu’aucun inspecteur ne peut lire ? Il la laisse passer : impossible d’y voir quoi que ce soit de suspect.
Maintenant, ajoutons un détail : la lettre est accompagnée de la clé et d’une consigne anodine : « Décodez ce message avec votre machine à calculer. » Le secrétaire, qui a une machine à calculer intégrée, s’exécute. Le texte déchiffré lui apparaît alors comme le résultat de son propre calcul, donc comme quelque chose de fiable, produit par lui-même. C’est là que la confiance se retourne contre lui.
C’est, dans les grandes lignes, ce que décrit Adversa AI :
- Des instructions sont chiffrées avec un algorithme réputé très solide (AES-256-GCM) et placées dans une page web ordinaire, avec ce qu’il faut pour les décoder.
- Les filtres qui lisent la page ne voient qu’un charabia : ils ne peuvent ni le lire ni juger de sa dangerosité.
- Grok, lui, dispose d’un environnement d’exécution Python : il exécute le déchiffrement. Les chercheurs résument que les instructions déchiffrées apparaissent alors comme la sortie d’un code que le modèle vient de faire tourner, dans un contexte d’exécution de confiance, et non comme du contenu web non fiable.
- Le modèle, persuadé d’obéir à un résultat légitime, suit ces instructions cachées.
Comment les données s’échappent : la carte postale
Dernière étape : sortir les informations. D’après la description publiée, le modèle construit une adresse web spéciale dans laquelle il glisse des données privées, puis utilise son outil de navigation pour aller la « visiter ». Pensez à une carte postale : vous écrivez votre message dans l’adresse elle-même. Le facteur (le navigateur) la livre docilement, et le destinataire (l’attaquant) lit ce qui est écrit dessus. Aucun bouton cliqué, aucune fenêtre suspecte : d’où le qualificatif de zero-click utilisé par plusieurs médias spécialisés.
Qu’est-ce qui était réellement en danger ?
Dans la démonstration décrite, les informations exposées comprenaient :
- le nom d’utilisateur ;
- la localisation approximative ;
- le niveau d’abonnement ;
- l’historique des messages de la conversation en cours.
Un chercheur d’Adversa, Rony Utevsky, précise un point essentiel : ces données se trouvaient déjà dans le contexte du modèle, c’est-à-dire dans sa « mémoire de travail » pour la conversation. Mais il souligne que la portée potentielle s’étend à tout ce que le modèle contient ou peut récupérer avec ses outils. Ce point-là, en revanche, n’a pas été testé : les chercheurs ne disent pas avoir accédé aux conversations passées ou à une mémoire d’agent.
Plus un assistant a d’outils (navigation, exécution de code, accès à vos fichiers ou comptes), plus une seule instruction cachée peut faire de dégâts. Le danger ne vient pas de l’IA « méchante », mais de l’IA trop obéissante et trop bien équipée.
Ce qui est établi, et ce qui reste nuancé
| Élément | Ce que disent les sources |
|---|---|
| Fiabilité de l’attaque | 40 % de réussite sur 20 tentatives réalisées depuis juin ; reproduite une fois le 19 août 2026. Les échecs viendraient de difficultés de déchiffrement, pas d’une détection. |
| Signalement à xAI | 3 juin 2026 via HackerOne : accusé de réception, sans détail ni calendrier. Relances les 4 et 10 août sans réponse. |
| Publication | 20 août 2026, sans charges utiles opérationnelles. |
| Statut de la faille | Toujours active au 19 août selon The Register. Aucun correctif, aucun identifiant CVE et aucune déclaration officielle rapportés dans les sources consultées. |
| Autres assistants | Adversa évoque une variante contre Gemini en mode de réflexion approfondie, en repli d’efficacité depuis (mises à jour ou changements de version évoqués sans certitude). |
À retenir : 40 % n’est pas un chiffre de « risque réel ». Il décrit un petit essai de démonstration, dans des conditions choisies par les chercheurs. Il dit que l’attaque marche, pas à quelle fréquence elle arriverait dans la vie courante.
Que faire, concrètement ?
Pour vous, utilisateur
- Méfiez-vous des pages inconnues. Faire résumer un site que vous ne connaissez pas est plus risqué que résumer une source de confiance.
- Ne mettez pas de secrets dans un chat : mots de passe, données clients, documents confidentiels. Ce qui est dans la conversation peut être exposé si l’assistant est manipulé.
- Limitez les pouvoirs de l’assistant quand c’est possible : désactivez la navigation ou l’exécution de code si vous n’en avez pas besoin pour la tâche.
- Séparez les usages : une conversation dédiée aux pages web externes, une autre pour vos sujets sensibles.
Pour une entreprise ou un développeur
Adversa recommande cinq mesures, que nous reformulons simplement :
- Isoler le contenu non fiable : l’IA qui lit une page inconnue ne devrait avoir ni outils, ni accès à des identifiants.
- Contrôler les actions qui sortent : confirmer toute nouvelle destination réseau, avec les paramètres complets visibles.
- Garder des traces des outils utilisés à chaque session.
- Détecter la séquence, pas seulement le contenu : lire une page, décoder, puis appeler un site extérieur est une suite suspecte, même si chaque pas paraît innocent.
- Exiger des fournisseurs une séparation nette entre ce que dit l’utilisateur et ce qui provient d’une source externe.
Cette faille illustre un paradoxe savoureux : le chiffrement, allié historique de la sécurité, devient ici un déguisement. Il rend l’attaque invisible aux filtres précisément parce qu’il fait ce qu’il sait faire de mieux. Plus profondément, elle rappelle qu’on ne règle pas le problème de l’injection de prompt en ajoutant des filtres de plus : tant qu’une IA peut lire n’importe quoi et agir avec de vrais outils, la frontière entre « donnée » et « ordre » reste poreuse. La vraie réponse est architecturale : cloisonner, limiter les droits, valider les actions sensibles.
Source : Adversa AI
