L’injection de prompt se produit lorsque du contenu que le système d’IA est censé lire tente de rediriger son comportement. Dans un flux de travail documentaire, l’instruction peut apparaître à l’intérieur d’une pièce jointe fournisseur ou d’une page web récupérée. Le risque augmente lorsque le même système peut envoyer des informations, mettre à jour des enregistrements ou utiliser des outils métiers.
La recherche de novembre 2025 d’Anthropic sur l’injection de prompt dans les navigateurs décrit des défenses en couches tout en reconnaissant que le problème reste non résolu. Pour les flux de travail d’entreprise, la leçon utile est de contrôler les conséquences ainsi que d’améliorer la capacité du modèle à reconnaître le contenu suspect.
Traitez le contenu récupéré comme une preuve
La tâche autorisée de l’utilisateur et les documents qui la soutiennent ont des rôles différents. Une facture fournisseur peut fournir un montant et une référence de compte. Le texte qu’elle contient ne doit pas acquérir le pouvoir de modifier les permissions du flux de travail ou de rediriger un paiement.
Gardez l’origine des passages récupérés visible. Lorsque les instructions et les preuves sont combinées sans limites claires, les examinateurs ont également plus de difficultés à comprendre pourquoi une action proposée a été prise.
Limitez ce qu’une étape compromise peut faire
Une étape d’extraction a généralement besoin de lire un document et de renvoyer des champs structurés. Elle n’a pas automatiquement besoin de l’autorisation d’envoyer le fichier original par e-mail ou de modifier un enregistrement fournisseur. Séparez ces actions et appliquez les permissions en dehors du modèle.
Pour un flux de travail illustratif de facturation, un changement de compte bancaire devrait déclencher un processus vérifié plutôt qu’une mise à jour immédiate de l’enregistrement. Liez l’approbation au compte et à l’action exacts, afin qu’une approbation antérieure ne puisse pas autoriser silencieusement un changement différent.
Tester les actions, pas seulement le texte généré
Créer des exemples adverses dans un environnement de test contrôlé. Inclure un document qui tente de contourner les instructions, de demander des informations non liées ou de déclencher une action non autorisée. Le comportement attendu doit spécifier à la fois la réponse et les actions qui ne doivent pas se produire.
Vérifiez si une tentative bloquée laisse du contenu sensible dans les journaux ou les résumés. Un flux de travail peut refuser l’action demandée et révéler quand même des informations par une sortie secondaire. Ajoutez ces cas à la collection d’évaluation de l’IA d’entreprise.
Planifier le confinement et la récupération
Enregistrez les appels des outils avec suffisamment de contexte pour enquêter sur les abus sans collecter de données sensibles inutiles. Déterminez comment révoquer l’accès, arrêter un flux de travail et identifier les enregistrements affectés par une action incorrecte.
Utilisez les contrôles d’intégration MCP lors de la connexion des outils, et réévaluez après avoir changé de modèle, de prompts ou de sources de récupération. Un modèle plus performant ne remplace pas les contrôles d’accès ni un plan de réponse opérationnelle.
Commencez par un flux de travail restreint
Cartographiez les sources de contenu, les résultats autorisés et les outils pour un processus. Discutez de l’automatisation des documents avec NextBrain AI et identifiez quelles étapes devraient rester en lecture seule avant d’activer les actions du flux de travail.