Le classement OWASP 2026
Le projet OWASP GenAI Security a publié en août 2026 une nouvelle édition de son Top 10 for LLM Applications. Pour la première fois, le classement tient compte de données d’incidents réels, en plus du vote de la communauté. Les grandes tendances : l’injection de prompt reste au premier rang, et l’agentivité excessive monte au troisième, signe que les agents se répandent plus vite que leurs contrôles.
1 à 3 : injection, fuite et agentivité
- 1. Injection de prompt. Un texte amène le modèle à ignorer ses consignes. Directe : l’utilisateur l’écrit lui-même. Indirecte : elle est cachée dans un courriel, un document, une page web ou même une image que l’IA lit. L’édition 2026 couvre aussi les instructions cachées dans l’audio et l’image, et celles qui persistent dans la mémoire d’un assistant.
- 2. Divulgation d’informations sensibles. Le modèle révèle des renseignements personnels, des données d’affaires ou des secrets présents dans son contexte, ses documents ou ses données d’entraînement.
- 3. Agentivité excessive. L’IA a plus de fonctions, de permissions ou d’autonomie que nécessaire. Une injection réussie devient alors une action réelle : envoi de courriels, modification de données, achats.
Ce qui aide : traiter tout contenu externe comme non fiable, accorder à l’agent le strict minimum de droits, et exiger une confirmation humaine pour les actions à fort impact.
4 à 6 : chaîne d’approvisionnement, empoisonnement, consommation
- 4. Chaîne d’approvisionnement. Modèles, jeux de données, extensions ou bibliothèques compromis. L’édition 2026 mentionne explicitement les poids de modèles altérés et les formats de sérialisation dangereux, qui peuvent exécuter du code au chargement.
- 5. Empoisonnement des données et du modèle. Un attaquant manipule les données d’entraînement, d’affinage ou la base documentaire pour introduire des biais, des portes dérobées ou des réponses favorables.
- 6. Consommation non bornée. Requêtes en rafale ou très longues qui font exploser la facture, ralentissent le service ou permettent d’extraire le comportement du modèle.
Ce qui aide : n’utiliser que des modèles et des composants de sources vérifiées, contrôler qui peut alimenter la base documentaire, et fixer des quotas et des alertes de coût.
7 à 10 : désinformation, contexte caché, vecteurs et sorties
- 7. Désinformation. Le modèle invente des faits, des références ou des politiques avec assurance. L’organisation reste responsable de ce que son IA affirme.
- 8. Exposition du contexte caché. Anciennement « fuite du prompt système ». Le modèle révèle ses consignes, sa configuration ou des politiques internes. Règle simple : aucun secret (mot de passe, clé d’API) ne doit se trouver dans un prompt.
- 9. Faiblesses des vecteurs et des plongements. Dans une recherche augmentée (RAG), des documents peuvent être récupérés pour un utilisateur qui n’a pas le droit de les voir, ou une base vectorielle peut être empoisonnée.
- 10. Traitement inapproprié des sorties. La réponse du modèle est affichée ou exécutée sans validation : HTML injecté, requête SQL, commande système, ou image distante qui transmet des données dans son URL.
Deux cas réels
EchoLeak (juin 2025). Des chercheurs d’Aim Security ont démontré qu’un simple courriel contenant des instructions cachées pouvait amener Microsoft 365 Copilot à extraire des données internes et à les transmettre vers l’extérieur, sans aucun clic de la victime. Microsoft a corrigé la faille (CVE-2025-32711, cote CVSS de 9,3) avant sa divulgation, sans exploitation connue. Le cas réunit trois risques du classement : injection indirecte, divulgation d’informations et traitement inapproprié des sorties.
Moffatt c. Air Canada (2024). Le robot conversationnel d’Air Canada a indiqué à un client qu’il pouvait demander un tarif de deuil après son voyage, ce qui contredisait la politique de l’entreprise. Le Tribunal de résolution civile de la Colombie-Britannique a rejeté l’argument voulant que le robot soit une entité distincte et a tenu Air Canada responsable de déclaration inexacte faite par négligence. Une leçon claire sur le risque de désinformation : ce que dit votre IA vous engage.
Et pour les agents ?
En décembre 2025, l’OWASP a publié un classement distinct pour les applications agentiques. On y trouve notamment le détournement des objectifs de l’agent, l’abus d’outils, l’abus d’identité et de privilèges, l’empoisonnement de la mémoire, les communications non sécurisées entre agents et les défaillances en cascade. Si vos équipes déploient des agents, c’est la lecture à faire ensuite.
L’article suivant aborde le volet gouvernance : les cadres et les obligations qui s’appliquent au Québec et au Canada.