Injection de requête
Définition
Type de cyberattaque contre les grands modèles de langues (GML) dans lequel les cyperpirates dissimulent des entrées malveillantes sous forme de requêtes en apparence légitimes afin de manipuler les GML pour les amener à divulguer des données sensibles ou à diffuser de la désinformation.
Compléments
La vulnérabilité liée à l'infiltration de requêtes provient du fait que les requêtes système et les requêtes génératives des utilisateurs ont le même format : des chaînes de texte en langage naturel. Cette cyberattaque demande peu de connaissances techniques et n'est pas illégale en soi.
Attention : Ne pas confondre avec le débirdage (jailbreaking). Les injections de requêtes dissimulent des instructions malveillantes sous forme d'entrées inoffensives, tandis que le débridage empêche un GML d'appliquer ses mesures de sécurité. Les infiltrations de requêtes peuvent être utilisées pour débrider un GML, et les tactiques de débridage peuvent ouvrir la voie à une infiltration de requête réussie.
L'infiltration de requête peut être directe ou indirecte.
Le concept d'injection de requête prédate son utilisation dans le cadre des grands modèles de langues et cette technique était déjà utilisée pour exploiter le code JavaScript, le SQL, etc.
Français
injection de requête
infiltration de requête
Anglais
prompt injection
A type of cyberattack against large language models in which hackers disguise malicious input as legitimate prompts to manipulate the models into leaking sensitive data or spreading misinformation. Prompt injection vulnerability arises because both the system prompt and the user inputs take the same format: strings of natural-language text. It also does not require much technical knowledge, and it is not inherently illegal.
Sources
Injection de requête, Franceinfo
Injection de requêtes - Le Devoir
Contributeurs: Arianne Arel, Patrick Drouin, wiki
