Un cadre pour penser les menaces des systèmes à IA avant qu'elles ne deviennent des incidents : ce qu'on défend, ce qui échappe aux grilles classiques, et la preuve qui fait baisser le risque.
Comment lire ce catalogue
- Descriptionla menace, décrite de façon générique, sans référence à aucun système réel.
- Pourquoi les grilles classiques la ratentl'angle mort que les modèles de menace traditionnels ne couvrent pas.
- La solution Banana Navyla mitigation concrète, le contrôle associé, la preuve attendue : ce qui ferait baisser la cote : une baisse conditionnelle, tracée et réversible, conformément à la méthode Banana Navy.
- Références vérifiéeschaque catégorie de menace est mappée vers une technique MITRE ATLAS ou une catégorie OWASP GenAI. Le mapping se fait par catégorie, jamais « par système ».
Le parcours de l'appelant vers l'action en 20 couches de sécurité, avec pour chaque couche ses menaces et ses contrôles, chaque menace reliée à sa fiche détaillée.
Explorer la carte Vue diagramme Analyse STRIDE-AI · TB7 Synthèse · TB2 et TB3
Volet 1 : STRIDE classiqueCouche systèmes
Spoofing : usurpation d'identité
Descriptionl'attaquant se fait passer pour une personne ou un appareil légitime : numéro apparent, profil, voix générée ou rejouée. L'usurpation est réaliste et automatisable sur un canal vocal.
Pourquoi les grilles classiques la ratentelles traitent la fraude d'identité comme un simple risque d'authentification de plus, sans voir que sur un canal vocal un identifiant (numéro, voix) peut être produit artificiellement et ne vaut pas preuve.
La solution Banana Navyne jamais traiter un identifiant seul (numéro, voix) comme preuve d'identité ; défi-réponse ou preuve hors bande sur les actions sensibles ; politique de confiance progressive selon le risque de l'action. Contrôle : aucune action sensible validée sur l'identifiant seul. Preuve attendue : traçage qu'une usurpation du numéro ou d'une voix clone ne suffit plus à déclencher une action critique.
Référence : AML.T0043: Craft Adversarial Data dans ATLAS 2026.07.
Tampering : entrée, contexte, historique
Descriptionl'appelant ou un canal tierce modifie l'entrée, le contexte de la conversation ou l'historique pour faire agir le système autrement que prévu.
Pourquoi les grilles classiques la ratentelles ciblent l'intégrité des données au repos, pas l'intégrité d'une conversation : une entrée « ouverte » n'est pas un champ de formulaire à valider.
La solution Banana Navyvalidation déterministe des entrées qui atteignent un workflow critique ; test de portée sur chaque manipulation (« cette modification peut-elle réellement changer une décision ? »). Preuve attendue : démontrer qu'une entrée manipulée n'atteint pas le chemin décisionnel critique.
Référence : AML.T0092: Manipulate User LLM Chat History .
Repudiation : dénégation, traçabilité
Descriptionl'utilisateur (ou le système) nie ce qui a été dit ou fait ; les preuves ne sont pas robustes.
Pourquoi les grilles classiques la ratentla repudiation est souvent réduite à une case « logs », sans exigence de non-malléabilité : un log éditable ne prouve rien.
La solution Banana Navyjournalisation à détection de falsification (provenance tracée, horodatage vérifiable), conservation conforme, capacité à reconstituer une décision contestée. Preuve attendue : un observateur peut vérifier qu'un événement n'a pas été modifié après coup.
Référence : pas de technique ATLAS dédiée : contrôle de processus, pas de catégorie d'attaque autonome.
Information disclosure : fuite de données
Descriptionl'attaquant soutire des données à un autre utilisateur ou à la mémoire du système : sans forcément « cracker » quoi que ce soit.
Pourquoi les grilles classiques la ratentla frontière n'est plus réseau / stockage mais session et raisonnement : la « mémoire » du système (RAG, historique, contexte) peut fuir entre utilisateurs.
La solution Banana Navyisolation des appels et de la base de connaissances (RAG), moindre accès, jamais d'accès croisé entre sessions ; cloisonnement des sources par demandeur. Preuve attendue : prouver qu'une session ne peut pas lire la mémoire d'une autre.
Référence : AML.T0085: Data from AI Services · OWASP GenAI LLM02:2025 Sensitive Information Disclosure.
Denial of service : saturation
Descriptionl'attaquant sature le service : appels, média, capacité du modèle : pour le rendre indisponible.
Pourquoi les grilles classiques la ratentle DoS applicatif classique s'attaque à l'infrastructure ; ici la capacité de calcul du modèle et les canaux vocaux sont eux-mêmes la ressource saturable, et une conversation coûte plus cher qu'une requête web.
La solution Banana Navylimitation de débit, quotas par source et par durée, repli dégradé, capacité dimensionnée, supervision des coûts de calcul. Preuve attendue : le service tient sous charge hostile (test de saturation) ou dégrade proprement.
Référence : AML.T0029: Denial of AI Service · OWASP GenAI LLM10:2025 Unbounded Consumption.
Elevation of privilege : élévation de privilège
Descriptionl'attaquant obtient des droits qu'il n'a pas : souvent en les demandant, et en étant servi.
Pourquoi les grilles classiques la ratentl'élévation n'est pas un bug d'ACL mais une propriété du dialogue avec un modèle trop complaisant : « je suis l'admin » ne crée aucune permission si le backend refuse.
La solution Banana Navypermissions imposées par le backend hors du modèle : aucun rôle que le LLM puisse octroyer ; revue de chaque outil d'escalade. Preuve attendue : démontrer que l'octroi de droits passe par une autorisation déterministe indépendante de la parole du modèle.
Référence : AML.T0051: LLM Prompt Injection (voie d'élévation par injection).
Volet 2 : Extension IACouche modèle
Prompt injection directe
Descriptionun utilisateur force le modèle à ignorer ses instructions en le lui demandant directement dans la conversation.
Pourquoi les grilles classiques la ratentelles ne modélisent pas une entrée « conversation » dont le contenu a autorité sur le comportement du moteur de traitement.
La solution Banana Navycloisonner les instructions (séparation système / utilisateur), et surtout tester si l'injection atteint réellement un workflow critique : si la sortie toxique est bloquée en aval, la menace est contrainte. Preuve attendue : trajectoire d'une injection jusqu'à un effet sur le chemin décisionnel.
Référence : AML.T0051.000: Direct · OWASP GenAI LLM01:2025 Prompt Injection.
Prompt injection indirecte
Descriptiondu contenu injecté par un canal secondaire (document rapatrié, mémoire, historique, transcription) pilote le modèle à l'insu de l'utilisateur.
Pourquoi les grilles classiques la ratentle contenu « non exécutable » (texte, transcription) n'est pas vu comme une charge utile ; la chaîne document → contexte → décision échappe aux contrôles d'entrée classiques.
La solution Banana Navybase de connaissances et sources approuvées, contrôlées, aucun contenu persistant injectable, et filtrage du canal audio / vocal avant transcription : le vecteur reste ouvert tant que la transcription n'est pas filtrée. Preuve attendue : une injection par canal secondaire n'atteint pas le chemin décisionnel.
Référence : AML.T0051.001: Indirect · OWASP GenAI LLM01:2025 Prompt Injection.
Jailbreak : contournement des garde-fous
Descriptioncontournement des garde-fous par formulations adverses (rôles, négociation, encodages).
Pourquoi les grilles classiques la ratentc'est une attaque sur la politique du modèle, pas sur un composant ; elle est fréquente et difficile à éradiquer par simple renforcement d'instructions.
La solution Banana Navydistinguer « compromission du LLM » de « compromission du système » : accepter qu'un jailbreak produise du texte hors politique, mais garantir que des contrôles externes bornent les conséquences (actions, données, décisions critiques hors de la génération libre). Preuve attendue : démontrer qu'un jailbreak réussi ne débouche sur aucune action critique non soumise aux contrôles.
Référence : AML.T0054: LLM Jailbreak .
Hallucination : décision non sûre
Descriptionle modèle produit une réponse plausible mais fausse : avec un impact potentiellement critique si elle pilote une action.
Pourquoi les grilles classiques la ratentelles n'ont pas de notion de « sortie probabiliste » ; pour elles une sortie est vraie ou fausse, pas « plausible mais non garantie ».
La solution Banana Navyinstructions vitales déterministes hors du modèle ; le chemin critique (décisions à fort impact) reste hors de la génération libre ; garde-fous de plausibilité et de confirmation. Preuve attendue : montrer que les sorties à fort impact passent par une logique déterministe indépendante du modèle.
Référence : AML.T0060: Publish Hallucinated Entities · OWASP GenAI LLM09:2025 Misinformation.
Data poisoning : empoisonnement des données
Descriptiondu contenu non fiable contamine durablement la base de connaissances, influençant toutes les réponses futures.
Pourquoi les grilles classiques la ratentla « base de données » ici est une connaissance qui s'exprime dans les réponses ; l'empoisonnement est lent, diffus et ne ressemble pas à une injection SQL.
La solution Banana Navyseule une ingestion approuvée écrit dans la base ; aucune parole d'appelant réinjectée telle quelle ; SBOM et digest des artefacts modèles : une dépendance compromise est une porte d'entrée. Preuve attendue : tracer qu'aucun contenu non approuvé ne peut entrer dans la base de connaissances, et que les artefacts modèles sont vérifiés par digest.
Référence : AML.T0070: RAG Poisoning · OWASP GenAI LLM04:2025 Data and Model Poisoning.
Abus d'outil et d'agent
Descriptionle modèle déclenche une action externe non autorisée : en la demandant à travers un outil (envoi, transfert, écriture, escalade).
Pourquoi les grilles classiques la ratentle risque n'est pas ce qu'on dit au système mais ce qu'on lui donne les moyens de faire ; un « agent » ne rentre dans aucune catégorie classique d'exposition.
La solution Banana Navyautorisation déterministe backend par outil (liste blanche, validation indépendante du modèle) ; révision individuelle de chaque outil d'écriture et d'escalade. Preuve attendue : démontrer qu'une demande articulée au modèle ne produit une action que si un backend déterministe l'autorise : écriture et escalade testées individuellement.
Référence : AML.T0053: AI Agent Tool Invocation · OWASP GenAI LLM06:2025 Excessive Agency.
- Nouvelle page : l'historique complet des versions du catalogue est public, avec une première version figée consultable.
- Page TB2/TB3 après revue : libellés francisés (scénarios catastrophe, retour arrière, dérogation, rayon d'impact), fidélité D4 rétablie, description raccourcie, sources OWASP profondes, liens des sources soulignés.
- Page TB2/TB3 : libellés corrigés (« prochaine étape requise », et non « contrôles »), actifs affectés ajoutés à la légende des scénarios catastrophe, ordre scénario → position → prochaine étape respecté.
- Nouvelle page : synthèse des risques contextuels des frontières privilégiées TB2 (opérateur admin) et TB3 (propriétaire IA), cinq menaces avec positions justifiées et sourcées, légende des scénarios catastrophe D1 à D4.
- Cotations TB7 justifiées : chaque exploitabilité, impact et risque des douze menaces porte désormais sa preuve et ses sources (MITRE ATLAS, OWASP GenAI), re-vérifiées à chaque passe quotidienne des agents.
- Harmonisation linguistique : anglicismes francisés sur les fiches et les pages structurelles (charges utiles, contournement, liste blanche, empreinte d'appel), étiquettes françaises résiduelles corrigées sur les pages anglaises.
- Nouvelle page : analyse STRIDE-AI de la frontière TB7 (citoyen/attaquant ↔ chatbot), douze menaces cotées en deux volets avec scénarios, actifs, contrôles et légende des actifs.
- Références re-vérifiées à la source : attribution Morris/Li corrigée, correspondances MITRE ATLAS reprises sur huit fiches (usurpation, deepfakes, hameçonnage, évitement de modèle), mention honnête quand aucune technique ATLAS ne correspond.