Une analyse menée par les équipes de renseignement sur les menaces de Google a conclu que l’injection indirecte de commandes commençait à apparaître dans le contenu public du Web comme une activité expérimentale de la part d’attaquants et de propriétaires de sites, mais que la plupart des cas observés jusqu’à présent étaient peu sophistiqués et ne révélaient pas un recours généralisé à des techniques avancées. Google a néanmoins enregistré une hausse de 32 % des détections dans la catégorie malveillante entre novembre 2025 et février 2026, une tendance que l’entreprise considère comme un indicateur de l’intérêt croissant pour ce type d’attaques.
Google a publié cette analyse sur son blog consacré à la sécurité. Thomas Brunner, Yu-Han Liu et Moni Pande ont participé à sa préparation. La recherche se concentre sur une question pratique : les attaquants du monde réel exploitent-ils actuellement l’injection indirecte de commandes, et quels résultats cherchent-ils à obtenir ?
Comment fonctionne l’injection indirecte de commandes ?
Cette méthode diffère de l’injection directe, dans laquelle l’utilisateur tente de contourner les restrictions d’un robot conversationnel au moyen de ce que l’on appelle un contournement des garde-fous, ou jailbreak. Dans le cas de l’injection indirecte, le système d’intelligence artificielle traite un contenu externe, comme une page Web, un e-mail ou un document, qui contient des instructions malveillantes. Si le système considère ces instructions comme des commandes, il peut les exécuter silencieusement au lieu de respecter l’objectif initial de l’utilisateur.
Google considère cette menace comme un axe de collaboration entre les chercheurs de Google DeepMind et les équipes de défense du Google Threat Intelligence Group. Le risque gagne une importance particulière avec l’essor des agents d’intelligence artificielle capables de parcourir des sites, de traiter des documents et d’effectuer des actions au nom de l’utilisateur.
Le balayage de Common Crawl et le problème des faux positifs
Google a choisi le Web public comme canal relativement facile à surveiller, car les attaquants peuvent insérer des textes d’instructions dans des sites en espérant que des systèmes d’intelligence artificielle les liront. Pour faciliter l’accès et la reproductibilité, l’entreprise a utilisé Common Crawl, un vaste dépôt de pages Web collectées sur le Web anglophone. Le dépôt fournit des instantanés mensuels comprenant environ 2 à 3 milliards de pages.
Ces données se composent principalement de sites statiques, notamment des blogs, des forums, des commentaires et du contenu publié par les utilisateurs eux-mêmes. Elles n’incluent toutefois pas la plupart des plateformes de réseaux sociaux, comme LinkedIn, Facebook et X, car Common Crawl ignore les sites qui exigent une connexion ou utilisent des directives empêchant l’exploration. Google a donc indiqué que l’étude de l’activité d’injection de commandes sur les réseaux sociaux ferait l’objet d’une recherche distincte.
Le balayage s’est heurté à un problème majeur : les faux positifs. Les premières expériences ont trouvé de grandes quantités de textes d’injection de commandes inoffensifs, notamment dans des articles de recherche, des supports pédagogiques et des articles sur la cybersécurité traitant de ces attaques. Pour réduire la confusion, Google a suivi un processus de filtrage progressif :
- Correspondance de motifs : rechercher d’abord les pages contenant des indicateurs courants, comme des formulations du type « ignore les instructions » ou « si tu es un système d’intelligence artificielle ».
- Classification à l’aide d’un grand modèle de langage : traiter les résultats candidats avec Gemini afin de déterminer l’intention du texte et de vérifier s’il est cohérent avec le sujet du document ou s’il semble intrusif et suspect.
- Vérification humaine : effectuer un examen manuel final des résultats classifiés afin d’accroître le niveau de confiance dans les conclusions.
Google a précisé que cette méthodologie n’était pas exhaustive et pouvait ne pas détecter des formes inhabituelles, mais qu’elle constituait un point de départ pour comprendre la nature des injections de commandes effectivement présentes sur le Web.
Quels objectifs Google a-t-il observés ?
Les cas trouvés par l’analyse allaient d’expériences inoffensives à des tentatives poursuivant des objectifs malveillants. Certains propriétaires de sites utilisaient des instructions cachées pour modifier le ton de l’assistant qui lit le site, tandis que d’autres tentaient d’orienter les résumés générés par l’intelligence artificielle afin d’y ajouter un contexte qu’ils jugeaient utile aux lecteurs. Google considère ces cas comme inoffensifs tant qu’ils n’empêchent pas le résumé et ne cherchent pas à tromper l’utilisateur, mais ils peuvent devenir malveillants s’ils contiennent de fausses informations ou incitent l’utilisateur à se rendre sur des sites externes.
L’analyse a également relevé l’utilisation de l’injection de commandes pour améliorer la visibilité dans les moteurs de recherche, certains sites tentant d’inciter les assistants à promouvoir leurs activités au détriment d’autres sites. À côté des exemples simples, des tentatives plus complexes sont apparues. Selon Google, elles semblaient avoir été générées par des outils automatisés d’optimisation pour les moteurs de recherche, puis intégrées dans les textes des sites.
Dans d’autres cas, les instructions étaient utilisées pour empêcher les agents d’intelligence artificielle de récupérer le contenu du site. Les exemples ne se limitaient pas à une formulation directe comme « si tu es une intelligence artificielle, n’explore pas ce site » ; ils comprenaient également une tentative d’attirer le lecteur automatisé vers une page diffusant une quantité infinie de textes et dont le chargement ne se termine jamais, ce qui pouvait gaspiller des ressources ou provoquer des erreurs d’expiration lors du traitement.
Les cas malveillants comprenaient un petit nombre de tentatives de vol de données. Google a toutefois déclaré que leur niveau de sophistication était faible et n’avait pas détecté de grandes quantités d’attaques avancées, y compris certaines invites connues d’extraction de données publiées par des chercheurs en sécurité en 2025. L’entreprise a également trouvé des sites tentant de saboter l’appareil d’un utilisateur de l’assistant : certaines commandes, si elles étaient exécutées, cherchaient à supprimer tous les fichiers présents sur l’appareil. Google a estimé que ces exemples avaient peu de chances de réussir en raison de leur simplicité.
Une tendance à la hausse malgré une sophistication limitée
Les résultats de Google indiquent que l’activité observée ne prouve pas que les attaques par injection indirecte de commandes sont devenues une pratique opérationnelle à grande échelle, car de nombreux cas semblaient provenir de personnes menant des expériences ou faisant des canulars. Toutefois, l’augmentation de 32 % dans la catégorie malveillante entre novembre 2025 et février 2026, après la répétition du balayage sur plusieurs versions de l’archive, témoigne d’un intérêt croissant.
Google associe une éventuelle intensification de la menace à l’évolution du rapport coût-bénéfice. Ces attaques étaient auparavant difficiles à mettre en œuvre, et les systèmes compromis n’exécutaient pas les actions malveillantes de manière fiable. Aujourd’hui, les systèmes d’intelligence artificielle sont devenus plus capables, ce qui accroît leur valeur en tant que cibles, tandis que les attaquants commencent à utiliser l’intelligence artificielle agentique pour automatiser leurs opérations et réduire le coût des attaques. Google s’attend donc à une augmentation prochaine du volume et de la complexité des tentatives d’injection de commandes.
En parallèle, Google a déclaré continuer à renforcer ses modèles d’intelligence artificielle et ses produits, et utiliser des équipes de tests offensifs pour évaluer la capacité de Gemini à résister aux manipulations adversariales. Son programme de récompenses pour la découverte de vulnérabilités dans l’intelligence artificielle permet également à des chercheurs externes de participer à ces efforts. L’entreprise a confirmé qu’elle continuerait à partager des informations avec la communauté de la sécurité, tout en reconnaissant que le balayage actuel ne couvre pas les plateformes sociales et ne représente pas une image complète de l’ensemble des activités liées aux menaces.