L’essor des grands modèles de langage (LLM) en entreprise introduit des risques de sécurité inédits, obligeant à repenser la protection des données.

L’intégration massive des grands modèles de langage (LLM) dans les applications professionnelles ouvre une nouvelle ère de vulnérabilités pour les systèmes d’information.

Contrairement aux cyberattaques traditionnelles qui exploitent des failles de code, une nouvelle menace, plus insidieuse, émerge :

Le détournement des intelligences artificielles par le simple usage du langage. Selon les experts de Meritis, une société de conseil spécialisée dans la transformation numérique, de nombreuses entreprises sous-estiment encore ce risque qui n’est plus seulement technique, mais bien organisationnel.

L’injection de prompt, une menace conversationnelle

Le principal vecteur d’attaque est désormais l’« injection de prompt ». Cette technique consiste à formuler une requête (un « prompt ») de manière si habile qu’elle pousse le LLM à ignorer ses propres règles de sécurité. L’attaquant n’a plus besoin d’être un hacker chevronné ; une phrase bien tournée peut suffire à convaincre le modèle de divulguer des informations confidentielles, comme des données clients ou financières, ou même de déclencher des actions critiques non autorisées par ses concepteurs. Le dialogue devient ainsi la porte d’entrée pour contourner les défenses du système.

Cinq axes de défense pour un déploiement maîtrisé

Face à cette nouvelle donne, Gaëtan Eleouet, Directeur de la Practice Data, IA & Digital Engineering chez Meritis, préconise une approche de sécurité en cinq points. Il est d’abord crucial de définir un périmètre d’action strict pour le LLM, en limitant précisément les données et systèmes auxquels il peut accéder. Ensuite, il est impératif de contrôler les entrées en filtrant les requêtes pour détecter les tentatives d’injection, mais aussi de contrôler les sorties en validant les réponses générées avant qu’elles ne soient exécutées par d’autres systèmes. L’anonymisation des données sensibles est également une étape clé pour empêcher leur fuite. Enfin, une surveillance continue de toute la chaîne d’intégration est nécessaire pour repérer les comportements anormaux.

« Intégrer un LLM dans un système d’information, c’est accepter une nouvelle forme de responsabilité : celle de sécuriser un modèle que l’on ne maîtrise pas entièrement. Sans ces contre-mesures, le risque n’est plus seulement technique, il devient organisationnel, avec des conséquences qui peuvent toucher l’ensemble de la chaîne », déclare Gaëtan Eleouet.

Une gouvernance de l’IA à réinventer

Cette évolution impose un changement de paradigme. La sécurité informatique classique, basée sur des règles de code rigides, doit être complétée par une véritable gouvernance de l’intelligence artificielle. Cela soulève des questions fondamentales sur la responsabilité des équipes de développement, qui intègrent des modèles d’IA tiers sans toujours en maîtriser les subtilités comportementales. La protection des actifs de l’entreprise passe désormais par une compréhension profonde des interactions entre l’humain et la machine.

À propos de Meritis

Fondée en 2007 par Sébastien Videment, Meritis est une société de conseil et une Entreprise de Services du Numérique (ESN) spécialisée dans la transformation des systèmes d’information, les infrastructures et les expertises métier dans le secteur de la finance.

Implantée initialement à Paris, l’entreprise s’est développée en France (Sophia-Antipolis, Montpellier, Nantes, Aix-en-Provence, Lille) et à l’international (Lisbonne, Londres, Bruxelles). Avec plus de 900 collaborateurs, Meritis a réalisé un chiffre d’affaires de 98 millions d’euros en 2025 et a été régulièrement distinguée au palmarès Great Place to Work.

Les experts de Meritis accompagnent des acteurs majeurs de la banque (Société Générale, BNP Paribas), de l’assurance (AXA), de l’énergie (Engie, EDF), de l’industrie (Airbus, Michelin) et du luxe (Kering, L’Oréal) dans leurs projets de transformation.

Plus d’informations sont disponibles sur leur site officiel :

https://meritis.fr/

via Presse Agence (rédigé à partir d’un communiqué de presse transmis à la rédaction).