La cause la plus fréquente d'une fuite par un assistant IA ?

Selon l'OWASP, le surpartage en amont : des espaces de fichiers mal cloisonnés, des droits hérités et des bases documentaires qui donnent au modèle des données sensibles qu'il retrouve ensuite comme prévu. La correction porte sur les données, pas sur le modèle.

Les journaux d'un assistant IA sont-ils un risque de fuite ?

Oui. L'OWASP signale que les plateformes d'observabilité enregistrent par défaut les prompts, les réponses, les passages récupérés et les traces complètes. Il faut restreindre et nettoyer ces journaux avant de les envoyer vers un outil de supervision.

Fuite de données par une IA générative : les voies

Un assistant d'IA générative peut laisser sortir des données par bien d'autres voies que sa réponse : les journaux, les traces de raisonnement, les arguments envoyés aux outils, les vecteurs d'une base documentaire, les images qu'il affiche. L'OWASP classe ce risque au deuxième rang de son Top 10 2026 (LLM02, divulgation d'informations sensibles) et demande de traiter chacune de ces voies comme une sortie soumise aux mêmes règles de classement et de masquage que la réponse elle-même.

Les voies de sortie

L'OWASP (fondation qui publie des référentiels de sécurité applicative) énumère les surfaces de divulgation. Voici les principales, avec la question à se poser :

Voie	Ce qui peut sortir	Question à se poser
Réponse au visiteur	Extrait d'un document qu'il n'aurait pas dû lire	Les droits sont-ils vérifiés avant la recherche ?
Arguments d'appel d'outil	Données recopiées dans une requête vers un service tiers	Que reçoit chaque outil, et qui le voit ?
Traces de raisonnement	Données récupérées, absentes de la réponse finale	Où sont stockées ces traces, et qui y accède ?
Journaux et supervision	Prompts, réponses et passages complets	Les journaux sont-ils filtrés avant leur envoi ?
Base vectorielle	Texte reconstitué à partir des vecteurs	Une sauvegarde « vecteurs seulement » est-elle protégée comme les documents ?
Image ou lien affiché	Données glissées dans l'adresse d'une image	Le rendu Markdown autorise-t-il des images externes ?
Contenu multimodal	Identifiants lus sur une capture d'écran ou dans les métadonnées d'un PDF	Les fichiers déposés sont-ils inspectés ?

Quatre moments où les données fuient

L'OWASP distingue quatre phases :

À l'entraînement : un modèle ou un adaptateur affiné mémorise des données et peut les restituer. Les modèles affinés sont plus exposés que les modèles de base de même taille.
À l'usage : le modèle divulgue son contexte vivant (prompt système, passages récupérés, fichiers, mémoire, voire les données d'une autre session), souvent parce qu'un résumé ou une traduction en dit plus que demandé, y compris des zones masquées visuellement dans un document.
Dans la chaîne de traitement : l'affinage, la génération de données de synthèse et les outils de supervision copient des données sensibles dans des fichiers dérivés.
Par observation : un attaquant déduit des informations de propriétés mesurables (longueur des réponses, temps de réponse) sans jamais lire le contenu.

L'ANSSI (Agence nationale de la sécurité des systèmes d'information) parle de « régurgitation » pour la restitution de données d'entraînement par simple interrogation du modèle. Elle recommande, selon les usages, de limiter la taille des réponses pour réduire ce risque.

Deux causes structurelles

L'OWASP en retient deux. D'abord le surpartage en amont : des espaces de fichiers sans cloisonnement, des droits hérités et des bases documentaires alimentent l'assistant en données sensibles qu'il retrouve ensuite exactement comme prévu. La correction porte sur les données, pas sur le modèle. Ensuite la persistance : une fois qu'une donnée a influencé des poids, des vecteurs ou un adaptateur, elle reste extractible même après la suppression du document source.

Les mesures de base, pour tout déploiement

L'OWASP propose un premier niveau valable pour tous :

Gouverner les corpus : provenance, classement, dédoublonnage ; retirer les données personnelles à l'intégration.
Réduire le contexte : n'envoyer aux fournisseurs externes que les champs nécessaires, désactiver l'ajout automatique de fiches complètes.
Autoriser avant de rechercher : contrôler les droits par document et par passage dans la requête d'index elle-même, et isoler les index par client pour les données les plus sensibles. Un passage remis au modèle ne peut plus être rattrapé par un filtre en sortie.
Aucun secret dans le prompt système (voir fuite du prompt système).
Filtrer avec des classificateurs, pas seulement des expressions régulières, qui échouent sur les sorties encodées ou dans une autre langue.
Plafonner les requêtes par utilisateur et par session sur les points d'accès sensibles, pour gêner l'énumération.
Restreindre et nettoyer les journaux et les traces avant leur envoi vers un outil de supervision, chiffrer en transit et au repos, et imposer techniquement l'absence d'entraînement et de conservation chez le fournisseur, plutôt que de s'en remettre au seul texte d'une politique.

L'ANSSI va dans le même sens avec sa recommandation R25 : filtrer les requêtes malveillantes avant le modèle, filtrer dans les réponses les informations internes du modèle et les informations définies comme sensibles (coordonnées personnelles, références de projets), et fixer une limite de taille aux réponses.

Le cas des outils grand public

Le guide de l'ANSSI rappelle qu'envoyer un document à un service d'IA générative grand public revient à le déposer sur un espace de stockage qui appartient à ce service, et que dans la majorité des offres les données envoyées sont collectées et utilisées pour améliorer les modèles. D'où sa recommandation R34 : proscrire ces outils pour un usage professionnel impliquant des données sensibles. Pour repérer ces usages, voyez détecter le shadow AI.

Pour aller plus loin

Le filtrage par droits d'accès dans un RAG (génération augmentée par recherche documentaire) est détaillé, avec des exemples de code, sur la page RAG et droits d'accès. Et pour pouvoir reconstituer une fuite après coup, il faut des journaux bien conçus : voir journalisation d'un système d'IA.