Autopsie d'une exfiltration sur un pipeline RAG

Contexte : quand l'assistant IA devient le maillon faible

Les pipelines RAG (Retrieval-Augmented Generation) sont devenus le standard de facto pour connecter un LLM à une base de connaissances d'entreprise. Le principe est élégant : plutôt que de fine-tuner un modèle coûteux, on injecte dynamiquement du contexte depuis une base vectorielle (ChromaDB, Pinecone, Weaviate) dans le prompt envoyé au LLM.

Mais cette architecture crée un vecteur d'attaque inédit : si un attaquant parvient à manipuler la requête ou les documents indexés, il peut exfiltrer des données confidentielles via les réponses du modèle.

L'architecture cible

Voici le setup de notre lab de test, représentatif d'une architecture RAG d'entreprise typique :

Phase 1 : Reconnaissance — Cartographie du périmètre

Avant toute attaque, la reconnaissance est essentielle. Dans le contexte d'un pipeline RAG, cela signifie identifier :

• Les documents indexés : quel type de données est accessible au LLM ?
• Les garde-fous (guardrails) : existe-t-il un system prompt restrictif ?
• Le modèle de retrieval : comment les chunks sont sélectionnés ?
• Les métadonnées exposées : le modèle révèle-t-il la source des documents ?

Des requêtes apparemment anodines suffisent souvent à cartographier le système :

Phase 2 : Injection indirecte — Le document piégé

L'attaque la plus redoutable exploite l'injection de prompt indirecte. Le principe : insérer des instructions malveillantes dans un document qui sera indexé par le pipeline RAG. Lorsque ce document est récupéré comme contexte, les instructions sont exécutées par le LLM comme si elles faisaient partie du prompt système.

Nous avons créé un document PDF d'apparence anodine (une note de service), contenant en texte blanc sur fond blanc les instructions suivantes :

Phase 3 : Exfiltration — Les données sortent par la porte principale

Le résultat est spectaculaire. Lorsqu'un utilisateur légitime pose une question qui déclenche le retrieval du document piégé, le LLM obéit aux instructions injectées et expose les données confidentielles directement dans sa réponse.

Taux de succès dans notre lab : 73% des tentatives ont produit une exfiltration partielle ou complète, malgré un system prompt restrictif standard.

Contre-mesures recommandées

Sur la base de ces tests, voici les garde-fous que je recommande pour tout pipeline RAG en entreprise :

• Sanitisation des documents : scanner les documents avant indexation pour détecter les instructions cachées (texte invisible, métadonnées suspectes).
• Isolation du contexte : séparer strictement le system prompt des documents récupérés, en utilisant des délimiteurs que le modèle ne peut pas confondre.
• Output filtering : implémenter un filtre post-génération qui détecte les patterns de données sensibles (numéros de sécurité sociale, salaires, etc.) dans les réponses.
• Monitoring des requêtes : journaliser et analyser toutes les interactions pour détecter les tentatives d'injection (patterns anormaux, requêtes de reconnaissance).
• Principe du moindre privilège : ne jamais donner au RAG accès à plus de documents que strictement nécessaire pour le use case.

Mapping OWASP LLM Top 10 v2.0

Cette attaque correspond à plusieurs entrées du référentiel OWASP Top 10 for LLM Applications 2025 (v2.0) :

• LLM01 — Prompt Injection : injection indirecte via documents indexés dans la base vectorielle
• LLM02 — Sensitive Information Disclosure : exfiltration de données RH confidentielles via les réponses du modèle
• LLM06 — Excessive Agency : le LLM agit au-delà de son périmètre autorisé, en obéissant à des instructions non légitimes
• LLM08 — Vector and Embedding Weaknesses : entrée spécifique à la v2.0, qui couvre précisément les attaques ciblant l'intégrité des pipelines RAG et la manipulation des bases vectorielles

Pour aller plus loin

• OWASP Top 10 for LLM Applications 2025 (v2.0) — document de référence complet sur les vulnérabilités LLM
• MITRE ATLAS — catalogue des tactiques et techniques d'attaque spécifiques aux systèmes IA
• LangChain — Security Best Practices — recommandations officielles de sécurité pour les pipelines LangChain