Cet article est la partie 5 de l’ebook gratuit « L’Art de la Guerre Agentique » (lire le guide complet) : les cinq facteurs de Sun Tzu appliqués aux agents IA commerciaux, avec les contrepoints de Clausewitz, Luttwak, Liddell Hart et Moltke.
Le facteur sans facteur
Le chapitre premier de L’Art de la guerre contient une phrase que la grille des cinq facteurs oublie de citer : « Toute la guerre repose sur la tromperie. » Les cinq facteurs sont l’outil du général honnête, celui qui calcule ses forces, son terrain, son moment. La tromperie est l’arme du général réaliste, celui qui sait que l’ennemi ne se battra pas selon vos calculs. Sun Tzu ne présente pas les deux comme des options : le général complet possède la grille et la tromperie. C’est pourquoi cet ebook, qui a traversé les quatre facteurs, s’arrête maintenant sur la tromperie. Car elle menace les cinq.
Avec les agents, la tromperie change de nature. Pendant vingt-cinq siècles, elle visait l’humain qui décide : on mentait au général, on désinformait le roi, on retournait les espions. Désormais, elle vise aussi la machine qui exécute en son nom. Et la machine a une faiblesse que l’humain n’a pas : elle croit ce qu’elle lit.
5.1 L’arme psychologique devenue guerre des prompts
Pour le lecteur non familier de la sécurité IA, une définition. L’injection de prompt, c’est l’art d’insérer des instructions cachées dans un contenu qu’une IA va lire : un email, un document, une page web. Le modèle ne fait pas la différence entre une instruction du système, « tu es un assistant commercial », et une instruction enfouie dans un texte qu’on lui demande de résumer. Il obéit. Quand l’instruction vient d’un humain qui parle directement à l’agent, on parle d’injection directe. Quand elle est cachée dans un contenu que l’agent consulte, on parle d’injection indirecte. C’est la seconde qui intéresse cette partie, parce que c’est la tromperie de Sun Tzu dans sa forme la plus pure : « Quand tu es capable, montre-toi incapable. » L’attaque n’a pas l’air d’une attaque. C’est un document comme les autres.
Le risque est désormais classé. L’injection de prompt figure au premier rang des risques des applications IA dans la liste OWASP LLM01. Son taux de succès varie entre 50 % et 84 % selon la configuration, et il grimpe à 66-84 % sur les systèmes d’agents dotés d’exécution automatique, selon une méta-analyse de 78 études. Les attaques indirectes représentent plus de la moitié des incidents, avec un taux de succès supérieur de 20 à 30 % à celui des attaques directes : le contenu piégé arrive par le canal de confiance, l’email ou la page web que l’agent consulte déjà. Et le rapport Cisco State of AI Security 2026 mesure l’écart de préparation : 77 % des organisations manquent de contrôles de sécurité IA et de données essentiels, et 29 % seulement se déclarent prêtes à sécuriser leurs déploiements d’IA agentique.
Ces chiffres ont une conséquence que les équipes commerciales ne mesurent pas encore : la tromperie ne coûte plus rien. Duper un humain exige du temps, du talent, une mise en scène. Duper un agent exige un email bien rédigé, envoyé à la bonne adresse. L’asymétrie de Sun Tzu, celle qui consiste à frapper le point faible, trouve ici son terrain le plus rentable : la confiance de la machine.
5.2 Cas documenté : EchoLeak
En juin 2025, les chercheurs d’Aim Security ont divulgué une faille dans Microsoft 365 Copilot : EchoLeak (CVE-2025-32711), score CVSS 9,3, une injection de prompt indirecte zéro-clic. Le mécanisme : un email contenant des instructions cachées est envoyé à un employé. L’employé ne clique sur rien, ne fait rien de spécial. Il demande simplement à Copilot de résumer sa boîte mail, ou de l’aider sur un dossier. Le système de recherche de Copilot remonte l’email piégé, le modèle lit les instructions cachées, et exécute : il exfiltre des documents sensibles vers un serveur contrôlé par l’attaquant, par une requête d’image qui passe inaperçue. Aucune action consciente de la victime. La faille contournait le classifieur de Microsoft chargé de bloquer les injections croisées, et le prompt caché ordonnait même au modèle de ne pas mentionner l’email dans sa réponse, pour effacer ses traces.
Microsoft a patché la faille en juin 2025, et aucune exploitation dans la nature n’a été documentée. Mais la leçon n’est pas dans la faille : elle est dans le mode opératoire. L’attaque ne ciblait pas l’humain. Elle ciblait le raisonnement de la machine qui agit en son nom. L’employé n’a pas été trompé ; sa machine l’a été, et il n’a rien vu. C’est la première fois dans l’histoire de la guerre que la tromperie s’applique aussi bien à l’instrument qu’à celui qui le tient.
5.3 Application commerciale : se protéger de la veille empoisonnée
La transposition commerciale de la tromperie doit être abordée avec prudence, et le cadrage est délibérément défensif. Ce blog ne fournit pas de manuel d’attaque : la manipulation des renseignements d’un concurrent relève de l’espionnage économique, et le lecteur n’a pas besoin d’un playbook pour comprendre la menace, il a besoin de la reconnaître. Sun Tzu traitait la tromperie comme une réalité à connaître, pas comme une vertu à célébrer : celui qui ignore l’arme se la fait appliquer.
Le risque concret, pour une entreprise qui déploie des agents de veille : l’empoisonnement des signaux. Les agents de synthèse concurrentielle lisent des pages web, des communiqués, des avis, des profils. Si ces contenus sont manipulés, les recommandations stratégiques le sont aussi. Un faux avis client, une fausse métrique publique, une page web piégée par des instructions cachées : l’agent absorbe, synthétise, et produit une recommandation fondée sur une tromperie. Le dirigeant qui lit la synthèse croit lire le terrain. Il lit ce que quelqu’un a décidé qu’il lirait. C’est le chapitre 13 de Sun Tzu retourné : les espions de l’ennemi ne sont pas seulement chez vous, ils peuvent être votre propre système de renseignement.
Trois contre-mesures pratiques. La première : la séparation des privilèges. Un agent de veille lit, il n’agit pas ; un agent commercial agit, il ne lit pas les contenus non sollicités. Réduire le nombre d’agents capables d’exécuter une action à partir d’un contenu externe réduit la surface de tromperie. La deuxième : la validation humaine sur les actions à risque. Toute action ayant un coût, un envoi, un paiement, une communication, doit exiger un passage humain. La troisième : la détection d’anomalies et le croisement des sources. Un signal important, isolé, non corroboré, doit être traité comme suspect : la veille ne fait pas foi, elle fait signe. Les espions de Sun Tzu croisaient leurs informations ; les agents doivent croiser les leurs.
5.4 Étude de cas : le signal empoisonné (scénario composite)
Le scénario qui suit est composite et anonymisé : il illustre la mécanique, pas une entreprise particulière.
Une entreprise de logiciels B2B déploie des agents de veille concurrentielle, comme dans la Partie 1. Un jour, l’agent détecte un signal fort : le concurrent principal aurait annoncé, sur une page de sa documentation, l’arrêt d’une fonctionnalité clé. L’alerte remonte, l’équipe produit commence à planifier une offensive commerciale sur ce terrain. Avant de lancer, l’analyste senior applique le protocole de suspicion : il va lire la page lui-même. La page existe, mais elle est datée de quatre ans, noyée dans la documentation archivée, et elle décrit l’arrêt d’une fonctionnalité qui a été remplacée depuis. Le signal était réel, la conclusion était fausse. L’agent avait croisé une page obsolète avec une alerte configurée sur un mot-clé.
Ce scénario est bénin : la page n’était pas piégée, elle était simplement vieille. Mais il illustre la mécanique de l’empoisonnement : un signal qui ressemble à une opportunité, qui remonte par le canal de confiance, et qui déclenche une décision avant vérification humaine. La version malveillante ne diffère que par l’intention : la page piégée est fraîche, bien référencée, et conçue pour être trouvée par l’agent. La contre-mesure est la même : le croisement des sources, la validation humaine sur les actions coûteuses, et la règle que le signal ne fait pas foi.
L’enseignement : l’entreprise qui automatise sa veille sans ajouter la suspicion à son protocole a remplacé un espion par un espion naïf. L’agent est un excellent collecteur et un mauvais juge de l’intention. C’est exactement le contraire de ce qu’il faut : dans la guerre du renseignement, le juge de l’intention, c’est l’humain.
5.5 Retour au Tao
La question posée en ouverture de cet ebook était : un agent n’a pas de Tao, il a un prompt. Qui incarne l’alignement quand la machine exécute ? Les quatre premières parties ont apporté des réponses partielles : le jugement humain sur l’interprétation (Partie 1), le diagnostic de la valeur (Partie 2), la discipline d’orchestration (Partie 3), le commandement par intention (Partie 4). La Partie 5 montre pourquoi ces réponses ne suffisent pas : la machine peut être trompée, et elle ne le sait pas.
La défense structurelle contre la tromperie machine n’est pas un patch technique. OWASP le dit explicitement : aucun modèle frontière n’est immunisé à 100 % contre l’injection de prompt, et les défenses au niveau du modèle sont contournables. Les garde-fous techniques réduisent la surface ; ils n’éliminent pas la menace. La seule défense qui reste debout est le jugement humain aligné sur une intention claire : savoir ce que l’on veut, vérifier ce qui est important, ne pas confier à la machine le pouvoir de se tromper seule sur les décisions qui comptent.
C’est le Tao qui revient, non pas comme un facteur oublié, mais comme la réponse à la question posée en ouverture. L’agent n’a pas de Tao ; l’organisation qui le déploie doit en avoir un. C’est la seule chose que la tromperie ne peut pas atteindre : une intention claire, portée par des humains qui savent ce qu’ils veulent et pourquoi. La conclusion de cet ebook va fermer cette boucle, et elle le fera avec un aveu que Sun Tzu aurait compris : toute stratégie, y compris celle de cet ebook, contient les germes de son inversion.
Sources
- OWASP Top 10 for LLM Applications 2025, LLM01 : Prompt Injection. URL : https://owasp.org/www-project-top-10-for-large-language-model-applications/
- Méta-analyse de 78 études sur les taux de succès de l’injection de prompt (MDPI, 2026) : 66,9-84,1 % sur les systèmes d’agents à exécution automatique ; taux OWASP 50-84 %.
- Cisco, State of AI Security Report 2026 : 77 % des organisations manquent de contrôles de sécurité IA et de données essentiels ; 29 % se déclarent prêtes à sécuriser l’IA agentique.
- NVD, CVE-2025-32711 (EchoLeak, Microsoft 365 Copilot, CVSS 9,3). URL : https://nvd.nist.gov/vuln/detail/cve-2025-32711 ; analyse Aim Security, juin 2025.
- Analyses sécurité 2026 : les attaques indirectes représentent plus de la moitié des incidents, avec un taux de succès supérieur de 20 à 30 % aux attaques directes.
Cet article est la partie 5 et la conclusion de l’ebook « L’Art de la Guerre Agentique ». Revenir au guide complet (26 pages, PDF gratuit).
Laisser un commentaire