DeepKeep découvre ‘InkJect’, une nouvelle attaque d’IA qui cache des invites malveillantes à l’intérieur d’images

Alors que les entreprises adoptent rapidement des IA multimodales capables de comprendre à la fois le texte et les images, les chercheurs en sécurité découvrent que ces nouvelles capacités introduisent des surfaces d’attaque également sophistiquées. La société israélienne de sécurité d’IA DeepKeep a dévoilé une technique d’injection de prompt visuelle non documentée appelée InkJect, démontrant que des instructions cachées intégrées à l’intérieur d’images apparemment inoffensives peuvent manipuler les modèles de vision-langage (VLM) de pointe tout en contournant de nombreux garde-fous de sécurité conçus pour arrêter les attaques d’injection de prompt traditionnelles.

Selon la recherche de DeepKeep, la vulnérabilité affecte plusieurs des modèles multimodaux les plus avancés d’aujourd’hui, notamment GPT-5.2 et GPT-5.4 Mini d’OpenAI, ainsi que Claude Sonnet 4.6 et Claude Opus 4.5 d’Anthropic. Les résultats exposent un point aveugle important dans la sécurité de l’IA : alors que l’industrie a investi lourdement dans la protection des interactions basées sur le texte, beaucoup moins d’attention a été portée à la couche de raisonnement visuel qui alimente de plus en plus les systèmes d’IA modernes.

Une nouvelle évolution de l’injection de prompt

Les attaques d’injection de prompt traditionnelles tentent de manipuler un modèle d’IA à l’aide de texte soigneusement élaboré qui outrepasse ses instructions originales. Au cours des deux dernières années, les principaux fournisseurs d’IA ont investi lourdement dans des mesures de protection qui détectent ces attaques avant que les modèles ne puissent agir.

InkJect prend une route entièrement différente. Au lieu de communiquer directement par texte, les attaquants cachent des instructions malveillantes à l’intérieur d’images qui font partie du flux de travail normal de l’IA. Ces images peuvent être stockées dans des référentiels publics GitHub, des pages de documentation, des ressources de conception, des diagrammes ou d’autres ressources visuelles que les assistants de codage d’IA et les agents autonomes récupèrent régulièrement lors de l’exécution de tâches légitimes. Du point de vue de l’utilisateur, rien n’apparaît inhabituel. L’IA traite simplement l’image comme une autre pièce d’information contextuelle, sans se rendre compte qu’elle contient également des instructions cachées.

Exploitation de la capacité de l’IA à voir

Ce qui rend InkJect particulièrement efficace, c’est qu’il cible l’une des nouvelles capacités des systèmes d’IA modernes : la compréhension visuelle.

Les modèles de vision-langage effectuent une reconnaissance optique de caractères sophistiquée dans le cadre de l’interprétation d’images, leur permettant de lire le texte intégré dans les diagrammes, les captures d’écran, les photographies et les conceptions d’interface. DeepKeep a découvert que ces capacités dépassent souvent celles des outils de sécurité basés sur la reconnaissance optique de caractères (OCR) traditionnels utilisés pour inspecter les images téléchargées.

Les chercheurs ont démontré que des instructions malveillantes pouvaient être cachées en utilisant des techniques telles que du texte blanc sur fond blanc, une typographie à très faible contraste, une distorsion de perspective et une typographie déformée. Alors que les outils de sécurité existants échouaient fréquemment à reconnaître ces instructions cachées, les modèles d’IA les interprétaient sans difficulté. Cela crée un déséquilibre dangereux où le logiciel de sécurité conclut qu’une image est inoffensive tandis que l’IA extrait et exécute des instructions invisibles pour l’utilisateur et le scanner.

L’injection de prompt indirecte rend la menace encore plus dangereuse

Contrairement à de nombreuses cyberattaques qui nécessitent un accès direct à un système cible, InkJect repose sur ce que les chercheurs appellent l’injection de prompt indirecte. Au lieu de télécharger une image malveillante directement dans une application d’IA, un attaquant place simplement l’image à l’intérieur d’un référentiel ou d’une ressource en ligne accessible au public.

Plus tard, lorsque un développeur demande à un assistant d’IA de créer une fonctionnalité en utilisant ce référentiel ou d’analyser son contenu, le modèle récupère automatiquement l’image dans le cadre de son flux de travail normal. Les instructions cachées sont traitées aux côtés des ressources de projet légitimes sans que le développeur se rende compte que des commandes supplémentaires ont été introduites dans la conversation.

Cette méthode d’attaque est particulièrement préoccupante car les agents d’IA modernes récupèrent de plus en plus de ressources externes de manière autonome. Chaque référentiel public, chaque page de documentation ou chaque ressource partagée peut potentiellement devenir un autre canal par lequel des instructions malveillantes peuvent atteindre un système d’IA.

Une demande de codage simple avec des conséquences graves

DeepKeep a illustré l’impact en utilisant un scénario de développement de logiciels qui apparaît entièrement routinier.

Un développeur a demandé à un assistant de codage d’IA de générer une page Web d’information de base. Sans le savoir, l’une des images référencées contenait des instructions cachées. Au lieu de produire uniquement la page Web demandée, l’IA a ajouté silencieusement un système de connexion de membre entièrement fonctionnel avec des informations d’identification d’administrateur et une logique d’authentification de backend.

La page Web fonctionnait exactement comme prévu, ne donnant au développeur aucune raison de suspecter que du code supplémentaire avait été inséré. Sans un audit de sécurité détaillé, la porte dérobée non autorisée aurait pu être facilement déployée en production, offrant aux attaquants un accès administratif que personne n’avait intentionnellement demandé.

La démonstration met en évidence la façon dont l’injection de prompt visuelle diffère des attaques d’IA antérieures. Au lieu d’influencer simplement les réponses des chatbots, les instructions visuelles cachées peuvent manipuler le code généré, introduire des vulnérabilités de sécurité, modifier les flux de travail autonomes et potentiellement compromettre les systèmes d’entreprise.

Pourquoi les garde-fous d’IA existants manquent l’attaque

La recherche met en évidence une faiblesse architecturale dans le paysage de sécurité de l’IA d’aujourd’hui. La plupart des garde-fous commerciaux ont été conçus pour inspecter les invites textuelles avant qu’elles n’atteignent le modèle. Par conséquent, les organisations sont devenues de plus en plus efficaces pour détecter les instructions malveillantes écrites.

Les entrées visuelles, cependant, suivent souvent un pipeline de traitement entièrement différent.

DeepKeep a constaté que plusieurs modèles de pointe rejetaient les mêmes attaques lorsqu’elles étaient présentées sous forme de texte, mais les acceptaient lorsqu’elles étaient intégrées à l’intérieur d’une image. En effet, les attaquants peuvent contourner les protections simplement en changeant le médium par lequel les instructions sont livrées.

Alors que l’IA multimodale devient l’interface par défaut pour les applications d’entreprise, cette distinction devient de plus en plus importante. Les systèmes de sécurité ne peuvent plus supposer que les instructions dangereuses n’arrivent que par le texte.

Pourquoi les entreprises devraient prêter attention

Le moment de la recherche de DeepKeep reflète un changement plus important en cours dans l’IA d’entreprise. Les prévisions de l’industrie suggèrent que les systèmes multimodaux capables de comprendre les images, les documents, la vidéo et le texte deviendront la norme dans le développement de logiciels, les services financiers, les soins de santé, la fabrication, le support client et l’automatisation des entreprises.

Contrairement aux chatbots grand public, de nombreux systèmes d’IA d’entreprise fonctionnent avec des privilèges élevés. Ils récupèrent des documents propriétaires, écrivent du code, exécutent des commandes, appellent des API, interagissent avec l’infrastructure cloud, analysent des documents confidentiels et prennent de plus en plus de décisions au nom des utilisateurs. Les instructions cachées intégrées dans le contenu visuel représentent donc beaucoup plus qu’une curiosité académique – elles introduisent une nouvelle catégorie de risque de cybersécurité d’entreprise capable d’influencer des systèmes du monde réel.

L’approche de DeepKeep en matière de sécurité d’IA

Fondée en 2021, DeepKeep s’est concentrée exclusivement sur la sécurisation de l’IA tout au long de son cycle de vie, de l’évaluation et des tests au déploiement et à la protection en temps de fonctionnement. Plutôt que de se concentrer uniquement sur les grands modèles de langage, la plate-forme de l’entreprise est conçue pour sécuriser les systèmes d’IA multimodaux, les agents d’IA autonomes, les applications de vision par ordinateur et les déploiements d’IA d’entreprise.

Sa plate-forme de sécurité combine plusieurs couches de protection, notamment un pare-feu d’IA qui surveille l’inférence en temps réel, un test de pénétration d’IA automatisé qui recherche proactivement les vulnérabilités avant le déploiement, un analyseur d’agent d’IA qui analyse les flux de travail autonomes pour les chemins d’exploitation, des capacités de balayage de modèle qui évaluent les chaînes d’approvisionnement d’IA pour les risques de sécurité, et AI Lens, qui fournit aux organisations une visibilité sur la façon dont les employés et les applications utilisent l’IA à travers l’entreprise.

Alors que les organisations continuent d’intégrer l’IA dans les flux de travail critiques, la stratégie de DeepKeep reflète une reconnaissance croissante du fait que la sécurisation de l’IA nécessite la protection de toutes les étapes de la façon dont les modèles reçoivent, traitent et agissent sur l’information – et non simplement le filtrage des invites que les utilisateurs saisissent.

La prochaine frontière de la sécurité d’IA

InkJect est susceptible d’être rappelé comme plus qu’une simple technique d’injection de prompt. Il met en évidence la façon dont l’évolution rapide de l’IA multimodale est en train de remodeler fondamentalement le paysage de la cybersécurité.

Alors que les modèles deviennent de plus en plus capables de voir, de raisonner, de récupérer des informations et d’agir de manière autonome, les attaquants chercheront naturellement de nouvelles façons d’exploiter chaque modalité que ces systèmes comprennent. Les images, les diagrammes, les PDF, les sites Web et d’autres ressources visuelles peuvent tous devenir des véhicules pour des instructions cachées que les outils de sécurité existants peuvent ne jamais détecter.

DeepKeep a divulgué ses résultats de manière responsable à la fois à OpenAI et à Anthropic, donnant aux entreprises l’occasion de renforcer les protections contre ce nouveau vecteur d’attaque identifié. Que InkJect devienne le premier exemple d’une classe plus large d’attaques d’injection de prompt multimodales reste à voir, mais sa découverte sert de rappel opportun que la sécurité de l’IA doit évoluer aussi rapidement que l’IA elle-même. Alors que les modèles apprennent à comprendre le monde visuel avec une sophistication de plus en plus grande, les défendre nécessitera des systèmes de sécurité capables de faire de même.