Guardrails LLM : filtrer les entrées et les sorties

Un guardrail (garde-fou) est un contrôle placé autour d'un modèle de langage, ou LLM (large language model), pour vérifier ce qui y entre et ce qui en sort : bloquer une tentative de contournement, repérer une instruction cachée dans un document, masquer une donnée sensible dans une réponse. Il complète le modèle sans le remplacer. Les garde-fous utiles se placent à cinq endroits, et aucun n'est infaillible : ils se combinent avec des droits limités et une validation humaine des actions sensibles.

Où placer les garde-fous

NeMo Guardrails, la boîte à outils libre de NVIDIA, distingue cinq types de contrôles, qui forment une bonne carte :

L'ANSSI (Agence nationale de la sécurité des systèmes d'information) recommande le même principe dans sa recommandation R25 : filtrer les requêtes malveillantes et les requêtes non légitimes d'un point de vue métier avant le modèle, filtrer les informations internes et sensibles dans les réponses, et limiter la taille des réponses.

Quatre familles d'outils

Cercle IA Tech est édité par IArche, qui édite ALMA ; les outils suivants sont décrits d'après leur documentation, lue le 15/11/2026, sans classement.

Ce que détecte chaque type de garde-fou

Ne confondez pas deux besoins :

• la détection d'attaques (jailbreak, injection) : c'est le rôle de Prompt Shields ou d'un filtre d'injection. Microsoft précise que Prompt Shields ne dit pas si un contenu est nuisible, exact ou conforme à une politique ;
• la modération de contenu (violence, haine, données personnelles) : c'est le rôle d'un classificateur comme Llama Guard.

Une application exposée au public a souvent besoin des deux, plus un contrôle métier (« cette question concerne-t-elle nos produits ? »).

Les limites, à connaître avant d'acheter

• Contournement : l'OWASP, fondation qui publie des référentiels de sécurité applicative, rappelle que les filtres sémantiques se contournent par reformulation ou encodage, et que les langues peu dotées dégradent leur précision.
• Langue : Microsoft indique que ses modèles de détection sont surtout entraînés et évalués sur l'anglais. Testez avec des attaques et des contenus légitimes en français.
• Faux positifs : un filtre trop strict bloque des questions légitimes. Microsoft conseille de passer du mode « bloquer » au mode « annoter » pour mesurer avant de couper.
• Expressions régulières : l'OWASP signale qu'elles échouent sur les sorties encodées ou dans une autre langue ; préférez des classificateurs.
• Caractères invisibles : l'OWASP recommande de retirer les caractères Unicode invisibles (blocs de balises, sélecteurs de variante, largeur nulle) à l'entrée et à l'affichage, car ils peuvent transporter des instructions sans être vus.

Garde-fou ou contrôle déterministe ?

Pour l'OWASP, les comportements critiques doivent être imposés par des systèmes déterministes, hors du modèle. Un garde-fou fondé sur un modèle reste probabiliste. Les règles qui ne doivent jamais céder (qui a le droit de lire tel document, quelle action exige une validation) s'écrivent dans le code de l'application. Le garde-fou réduit le bruit ; le code tient la ligne.

Pour vérifier que vos garde-fous tiennent face à un attaquant qui les connaît, passez par un red teaming ; pour le détail des attaques visées, voyez l'injection de prompt et le jailbreak.