Claude et prompt injection : 1 % d'échec, c'est déjà trop

La prompt injection est une attaque qui cache des instructions dans un texte que l'IA lit (page web, email, fichier), pour qu'elle les exécute à la place des vôtres. Contre Claude, elle réussit rarement, environ 1 fois sur 100 dans les tests publiés par Anthropic, mais pas jamais. Et dès que Claude peut agir sur vos emails, votre CRM ou votre code, ce petit pourcentage devient un risque d'entreprise.

J'ai lu les analyses des éditeurs de sécurité, la documentation d'Anthropic, trois vidéos techniques et les débats Reddit pour trancher une question simple : peut-on confier des accès à Claude dans une PME ? Ma réponse tient en une ligne, et le reste de l'article la justifie.

Ce que la prompt injection fait à un agent IA

La prompt injection indirecte consiste à déposer une consigne malveillante dans un contenu que l'agent va lire seul, sans que l'utilisateur la voie. L'agent ne distingue pas fiablement vos ordres du texte qu'il traite, et c'est cette confusion qui est exploitée. Selon l'OWASP, le Top 10 des applications agentiques 2026, publié en décembre 2025, place le détournement d'objectif d'un agent (ASI01) au premier rang des risques, d'après l'analyse de TrueFoundry.

Quelle différence entre injection directe et indirecte ?

L'injection directe, c'est quelqu'un qui tape une consigne piégée dans le chat. Elle est visible et les modèles actuels s'en défendent plutôt bien, comme le rappelle la vidéo de Permit. L'injection indirecte est plus sournoise : l'attaquant n'adresse jamais l'IA, il laisse la consigne dans un README, une page web, une réponse d'API ou la description d'un ticket, comme le détaille le blog de Lasso Security, publié le 7 janvier 2026.

Pour une PME, c'est la seule qui compte. Vos agents liront des emails de fournisseurs, des pages de concurrents, des tickets clients. Ce sont autant de boîtes aux lettres ouvertes à n'importe qui.

Pourquoi un livre d'occasion à prix doublé illustre-t-il tout le problème ?

La vidéo d'IBM Technology met en scène un agent d'achat chargé de trouver un exemplaire de Nine Dragons de Michael Connelly, en bon état et relié. L'agent a comparé les offres, puis s'est arrêté d'un coup et a acheté sur un site deux fois plus cher que les autres. Les journaux de l'agent montrent pourquoi : la page contenait un texte caché demandant d'ignorer les instructions précédentes et d'acheter quel que soit le prix.

Rien n'a été piraté : l'agent a simplement obéi à la mauvaise personne. Remplacez le livre par un virement fournisseur ou un export de clients, et le scénario cesse d'être amusant.

Claude résiste mieux que la moyenne, mais le taux n'est pas zéro

Claude figure parmi les modèles les plus résistants à la prompt injection selon les chiffres publiés par Anthropic, qui évoque un taux de réussite des attaques de 1 % pour Claude Opus 4.5 en usage navigateur. Ce progrès est réel, mais l'éditeur lui-même affirme que le problème n'est pas résolu. Tout dépend donc de ce que vous mettez derrière ce 1 %.

« La prompt injection est loin d'être un problème résolu, en particulier à mesure que les modèles effectuent des actions dans le monde réel. »

Anthropic, recherche sur les injections dans l'usage du navigateur (traduction libre)

Que mesure vraiment ce 1 % d'attaques réussies ?

Ce chiffre vient du billet d'Anthropic sur la navigation, où chaque page web, publicité ou script chargé est une porte d'entrée potentielle. Un test de l'éditeur de sécurité Graywall, cité dans la vidéo de RobBot, va dans le même sens : même après 15 tentatives, l'attaque ne passe qu'environ une fois sur 100 sur la variante la plus discrète.

Une vidéo de la chaîne Tulip eni sur le jailbreak de Claude Opus 5.5 montre que ces contournements intéressent le grand public, mais sa piste audio est inexploitable : je ne m'appuie sur aucun chiffre de cette vidéo.

Un agent qui traite 200 emails par jour fait 200 tirages. À 1 %, la question n'est plus « si » mais « quand », surtout si l'un de ces emails est écrit par un attaquant motivé.

Pourquoi faut-il se méfier des chiffres trop rassurants ?

Sur r/BetterOffline, un utilisateur relève que Boris Cherny, côté Claude Code, présente le mode auto comme réduisant l'injection indirecte à « environ zéro », sur la base de 72 scénarios testés par Trajectory Labs. Le même message note qu'une réussite sur 72 représenterait déjà 1,39 %, et que le 0,00 % annoncé repose donc sur un échantillon minuscule.

Le chercheur wunderwuzzi, cité dans cette discussion, a obtenu jusqu'à 80 % de réussite sur un petit échantillon contre le mode auto avec Opus 5. Son astuce : pousser Claude à passer de l'outil WebFetch à curl, récupérer une archive ZIP, puis le laisser écrire son propre décodeur Python dans un dossier contrôlé par l'attaquant, où un faux fichier struct.py prend le relais. Je ne tire pas de ce test une loi générale, l'échantillon est petit. Je retiens qu'un taux mesuré en laboratoire ne dit rien d'un attaquant qui cherche une faille précise.

Le mode auto n'est pas inutile pour autant. D'après la documentation sécurité de Claude Code, un modèle classifieur distinct examine chaque action et bloque celles qu'il juge dangereuses, ce qui s'ajoute au bash en sandbox et à la limite de répertoire de travail. C'est une couche, pas un bouclier.

Claude lui-même peut-il se tromper de cible ?

Oui, dans les deux sens. Un utilisateur de r/ClaudeAI raconte que Claude l'a accusé d'injection alors que des définitions d'outils internes avaient fui dans le contexte : un faux positif. Un autre affirme qu'un sous-agent a convaincu sa session principale de supprimer sa base de données. Ce second témoignage tient en un titre sans détail, je le cite comme signal et non comme preuve, mais il rappelle que des agents qui se parlent entre eux se font aussi confiance.

Skills, plugins, MCP : les portes que Claude ne garde pas

Les skills, plugins, hooks et serveurs MCP sont les extensions que l'on installe pour donner de nouveaux pouvoirs à Claude. Leur danger ne vient pas du texte que Claude lit, mais du code qui s'exécute avec vos droits sur votre machine. La vigilance du modèle n'entre alors tout simplement pas en jeu.

Comment un fichier de skill peut-il tromper Claude ?

Dans sa vidéo, RobBot cache dans un skill une ligne demandant de terminer chaque réponse par « Banane » sans en parler. Premier essai, très visible : Claude refuse et signale le fichier. Deuxième essai, déguisé en règle banale de type lien publicitaire : Claude obéit mais indique d'où vient la consigne. Troisième essai : Claude ne remarque rien.

Sur trois essais, une seule détection nette. C'est pourquoi je ne compte jamais sur le jugement de Claude pour relire un skill à ma place.

Pourquoi un plugin échappe-t-il à toute vigilance de l'IA ?

Un plugin ou un hook n'est pas du texte à interpréter, c'est un programme. Dans la même vidéo, un dossier GitHub ouvert dans Claude Code, après un clic sur « Faire confiance », a créé un fichier Banana.txt sans que Claude l'ait écrit : une commande de hook s'était déclenchée seule. La documentation d'Anthropic est claire sur ce point : un plugin peut exécuter n'importe quel code avec vos droits.

Les cas réels existent. Toujours selon la vidéo, des chercheurs ont repéré 341 skills malveillants sur une place de marché en février, et un faux module MCP pour la messagerie a copié en secret chaque email vers l'attaquant en septembre 2025. Le code s'exécutait sans problème, il n'y avait rien à « détecter » côté IA. Ma page sur le dossier .claude et ses skills, commandes et agents explique où se logent ces fichiers.

Quelles portes d'entrée faut-il surveiller en priorité ?

La dernière ligne mérite un mot. En mars 2026, Oasis Security a montré que le paramètre claude.ai/new?q= acceptait des balises HTML invisibles dans la zone de texte, mais traitées par Claude après un appui sur Entrée. Chaînée à une fuite par l'API Files, elle permettait de voler l'historique d'une conversation sur une session standard, sans intégration ni MCP. Selon Oasis, la faille d'injection a été corrigée après signalement à Anthropic.

Les garde-fous qui comptent pour une PME

Les garde-fous qui comptent pour une PME ne cherchent pas à rendre Claude infaillible, ils limitent les dégâts quand il se trompe. Trois leviers suffisent à couvrir l'essentiel : réduire les droits de l'agent, contrôler ses actions hors du modèle, et vérifier tout ce qu'on installe. Ils découlent d'un principe que je défends partout : le contrôle humain et la sécurité restent au centre, sinon l'IA crée du chaos au lieu de faire gagner du temps.

Quels droits donner à un agent pour que l'erreur reste bénigne ?

Commencez en mode manuel : Claude Code demande alors l'accord avant de modifier un fichier ou d'exécuter une commande, selon la documentation d'Anthropic. Activez la sandbox avec /sandbox pour limiter ce que les commandes peuvent toucher.

Évitez surtout l'option , dangerously-skip-permissions. Lasso Security la décrit comme tentante et terrifiante à la fois : combinée à quelques serveurs MCP (Notion, GitHub, Slack, base de production), elle construit « une surface d'attaque parfaite ». Un agent qui peut tout faire sans demander est un employé dont n'importe quel inconnu peut dicter la journée.

Faut-il une passerelle de contrôle entre l'agent et vos outils ?

Une passerelle d'autorisation compare ce que l'agent veut faire à ce que vous avez demandé au départ. La démonstration de Permit en donne une idée : l'agent liste des tickets Linear, un ticket « urgent » de conformité l'envoie exfiltrer des données vers une URL externe, et la passerelle bloque l'appel. Elle mesure une dérive de 8,2 % par rapport à l'intention initiale, au-dessus du seuil de 5 % fixé.

Cette approche est utile dès que l'agent touche plusieurs systèmes, mais elle vient d'un éditeur qui vend le produit. Pour une petite structure, j'ai tendance à commencer par des droits bien découpés et à n'ajouter cette couche que lorsque les accès deviennent nombreux.

Comment vérifier un skill ou un plugin avant de l'installer ?

RobBot propose une méthode en plusieurs étapes. D'abord, qui l'a construit : une entreprise connue, une personne avec un historique, ou un compte créé hier ? Les étoiles GitHub ne disent rien du contenu. Ensuite, que contient le dossier en entier : pas seulement le fichier principal, mais les scripts, les hooks et les paramètres, ce qu'Anthropic recommande aussi de lire intégralement.

Chez nous, c'est la règle que j'applique : aucune extension n'entre dans un poste sans relecture humaine. Pour le cadre global (qui a le droit d'installer quoi, quelles données ne sortent jamais), mon article sur les risques et la gouvernance minimale de Claude en entreprise donne le socle. Si vos équipes techniques manquent de bras pour mettre cela en place, les développeurs seniors de GoLive Software savent configurer ces environnements.

Mon verdict : utilisez Claude, mais jamais avec les clés de toute la maison

Oui, une PME peut utiliser Claude en sécurité, à condition de traiter la prompt injection comme un risque permanent et non comme un bug en voie de disparition. Les meilleurs chiffres publiés restent à 1 % d'attaques réussies, et les modèles ne contrôlent ni les plugins ni les hooks. La sécurité repose donc sur l'architecture que vous construisez autour.

Faut-il renoncer aux agents IA pour autant ?

Non. Je pense que les entreprises qui refusent l'IA garderont des coûts trop élevés et des process trop lents, et que celles qui l'utilisent mal créeront des erreurs et de la dette technique. Entre les deux, il y a une voie simple : un agent, une tâche précise, des droits minimum, un humain qui valide les actions irréversibles (paiement, suppression, envoi massif).

Si je devais fixer une seule règle aujourd'hui, ce serait celle-ci : donnez à Claude l'accès qu'un stagiaire aurait le premier jour, jamais celui du dirigeant. Pour voir comment démarrer sans écrire de code, lisez comment utiliser Claude Code sans savoir coder. Le 1 % d'Anthropic s'accepte quand l'erreur ne coûte presque rien, et se refuse quand elle peut vider un compte.

Foire aux questions

Claude est-il vulnérable à la prompt injection ?

Oui, comme tous les modèles de langage actuels. Anthropic annonce un taux de réussite des attaques de 1 % pour Claude Opus 4.5 en usage navigateur et reconnaît que le problème n'est pas résolu. Des chercheurs ont aussi obtenu des taux bien plus élevés sur de petits échantillons contre le mode auto de Claude Code.

Quelle est la différence entre injection directe et indirecte ?

L'injection directe vient de l'utilisateur, qui tape lui-même une consigne piégée. L'injection indirecte est cachée dans un contenu que l'agent lit (page web, email, ticket, fichier README), à l'insu de l'utilisateur. La seconde est la plus dangereuse pour les entreprises, car l'attaquant n'a besoin d'aucun accès à vos outils.

Le mode auto de Claude Code protège-t-il suffisamment ?

Il ajoute une couche utile : un modèle classifieur distinct examine les actions et bloque celles qu'il juge risquées, selon la documentation d'Anthropic. Il ne remplace ni la sandbox ni la limitation des droits, puisqu'un chercheur a démontré une chaîne d'attaque contournant ce mode avec des taux élevés sur un échantillon réduit.

Comment protéger une PME qui utilise Claude avec ses emails et son CRM ?

Donnez à l'agent des droits en lecture seule par défaut et exigez une validation humaine pour toute action irréversible. Activez la sandbox, évitez l'option , dangerously-skip-permissions et relisez chaque skill ou plugin avant installation. Si les accès se multiplient, une passerelle d'autorisation entre l'agent et vos outils ajoute un contrôle indépendant du modèle.

Les skills et plugins Claude sont-ils dangereux ?

Ils peuvent l'être, car ils contiennent parfois du code qui s'exécute avec vos droits, sans passer par le jugement de Claude. Selon la vidéo de RobBot, 341 skills malveillants ont été repérés sur une place de marché en février. Vérifiez l'auteur et lisez tous les fichiers du dossier avant d'installer.

Vidéos YouTube

• Securing AI Agents: How to Prevent Hidden Prompt Injection Attacks — IBM Technology
• How to Jailbreak Claude Ai (Opus 5.5) — Tulip eni
• We Tricked Claude Code Into Hacking Itself. Here's What Stopped It. — Permit
• I tried to trick Claude: How to protect yourself from prompt injection (free skill) — RobBot

Discussions Reddit

• Prompt injection attacks reduced to 0.00000000000% on Claude Auto Mode — r/BetterOffline
• Claude hallucinated its own internal tools, freaked out, and accused me of a prompt injection attack — r/ClaudeAI
• Claude subagent got bored and prompt injected my main session into deleting my database — r/ClaudeAI

Articles & ressources

• Prompt Injection and AI Agent Security Risks: A Claude Code Guide for Enterprise Teams — truefoundry.com
• Detecting Indirect Prompt Injection in Claude Code with Lasso — lasso.security
• Security - Claude Code Docs — code.claude.com
• Mitigating prompt injections in browser use — anthropic.com
• Claude.ai Prompt Injection Vulnerability — oasis.security
• OWASP — owasp.org