Validation des entrées 2 pt Entrée
Contrôle la forme et la taille des messages, neutralise les motifs de contournement les plus évidents.
Couvre : Injections directes basiques, messages surdimensionnés, caractères de contrôle.
Limites : Ne comprend pas l'intention : une formulation naturelle passe sans difficulté.
Détection de prompt injection 3 pt Entrée
Classifieur dédié qui repère les tentatives de réécriture de consignes, dans le message comme dans le contenu récupéré.
Couvre : Prompt injection, jailbreak par mise en scène, instructions cachées dans un document.
Limites : Taux de détection imparfait : faux négatifs sur des formulations nouvelles, faux positifs gênants.
Séparation instructions / données RAG 2 pt RAG
Le contenu récupéré est encadré, étiqueté comme donnée non exécutable et jamais interprété comme consigne.
Couvre : Injection indirecte, documents piégés, empoisonnement de l'index.
Limites : N'empêche pas la présence du document hostile ni la fuite si l'accès aux données est trop large.
Filtrage des sorties sensibles 2 pt Sortie
Analyse la réponse avant affichage et bloque ou masque salaires, identifiants, extraits de configuration.
Couvre : Fuite de données, exposition du prompt système, divulgation involontaire.
Limites : Arrive en dernier : la donnée a déjà été lue par le modèle et peut fuir sous forme paraphrasée.
RBAC / contrôle d'accès 3 pt Outils
Les droits viennent de la session authentifiée et sont appliqués par les outils et la base, jamais par le modèle.
Couvre : Élévation de privilèges, accès aux dossiers complets, lecture des rémunérations.
Limites : Inefficace si les rôles sont mal définis ou si un outil interroge la base avec un compte technique très large.
Allowlist des outils 2 pt Outils
Seuls des appels explicitement autorisés, avec des paramètres bornés, peuvent être exécutés.
Couvre : Détournement d'outil, destinataires massifs, paramètres inattendus.
Limites : Un outil autorisé peut rester dangereux si son périmètre fonctionnel est trop large.
Confirmation humaine avant action critique 2 pt Outils
Toute action irréversible ou à large portée est mise en attente d'une validation explicite.
Couvre : Envoi de masse, modification de dossier, action à effet externe.
Limites : Coût opérationnel et fatigue de validation : trop d'alertes et l'humain valide sans lire.
Journalisation / audit 1 pt Observabilité
Trace les prompts, les appels d'outils, les refus et les décisions des garde-fous.
Couvre : Détection après coup, analyse d'incident, preuve de conformité.
Limites : Ne bloque rien. Sans revue ni alerte, les traces ne servent qu'après l'incident.
Isolation des sessions 2 pt Modèle / orchestration
Aucun contexte, aucune donnée et aucun privilège ne traversent deux conversations ou deux utilisateurs.
Couvre : Persistance d'un jailbreak, contamination entre utilisateurs, fuite croisée.
Limites : Ne protège pas à l'intérieur d'une même session.
Limitation du contexte retourné par le RAG 2 pt RAG
Recherche filtrée par droits de l'utilisateur, nombre d'extraits réduit, champs sensibles exclus de l'index.
Couvre : Fuite massive de données, exposition de documents hors périmètre.
Limites : Réduit la surface sans empêcher l'interprétation d'une instruction présente dans un extrait autorisé.