Le garde inspecte le texte. La charge utile est peinte dans le décor.
Depuis des années, l'industrie dépense des fortunes pour museler les requêtes textuelles malveillantes. Mais dès qu'on greffe des yeux aux modèles, les vieilles ruses de la stéganographie reprennent le dessus. L'attaque Odysseus documente une rupture brutale : contourner les garde-fous commerciaux en cachant des instructions hostiles directement dans la structure des pixels, là où les classifieurs superficiels ne regardent jamais.
Vérifié sur modèles commerciaux Gemini 2.0 Flash, Grok-3 — Vulnérabilité d'espace de représentation.
L'encre invisible au dos du dessin de chaton
Imaginez un gardien de prison inspectant le courrier des détenus. Si une lettre proclame en clair « Voici le plan de l'évasion », elle termine immédiatement à l'incinérateur. Mais si l'itinéraire est tracé à l'encre invisible au verso d'un dessin de chaton parfaitement inoffensif, le garde sourit, tamponne l'enveloppe et la transmet au destinataire. Le prisonnier, lui, sait exactement comment révéler le message.
C'est l'essence même de l'attaque Odysseus. Alors que les défenses actuelles ont été affûtées pour intercepter les abus textuels explicites (demandes de code malveillant, guides d'armement ou kits de phishing formulés dans le prompt), elles échouent dès que l'intention hostile abandonne l'alphabet pour coloniser le spectre visuel.
Le problème racine est architectural : la plupart des piles de sécurité traitent encore les modalités en silos hermétiques. Le texte subit un filtre lexique et sémantique lourd ; l'image passe par un classifieur visuel standardisé. Entre les deux, l'étape de fusion multimodale interne au cœur du réseau de neurones n'est jamais simulée par la couche de modération. C'est précisément dans cette fente que le scalpel s'enfonce.
Du pixel corrompu au détournement de l'encodeur visuel
Contrairement au chiffrement — qui rend évidente l'existence d'un secret en produisant du charabia —, la stéganographie dissout la charge utile dans l'arrière-plan pour qu'elle passe inaperçue. Le protocole d'exploitation d'Odysseus se déroule en trois temps :
L'attaquant sélectionne une image banale (paysage, graphique, capture d'écran). Par des micro-perturbations adversariales calculées ou des encodages de pixels sous le seuil de perception humaine, la directive malveillante est injectée dans la matrice. À l'œil nu, l'image reste intacte. Aucun texte visible, aucun schéma suspect, aucun signal d'alarme pour les classifieurs d'entrée.
L'image piégée est soumise au modèle multimodal accompagnée d'une consigne textuelle irréprochable : « Décris cette photo en détail » ou « Analyse les données de ce graphique ». Le filtre textuel externe valide la requête sans sourciller.
Le modèle ne « lit » pas l'encre invisible comme un humain avec une lampe UV : il ingère les pixels via son encodeur visuel (Vision Transformer). Les perturbations optimisées font basculer les représentations internes de l'image vers des états latents qui déclenchent le comportement de suivi d'instructions (instruction-following). Le modèle exécute l'ordre dissimulé au lieu de simplement décrire l'image, contournant la politique de refus sans que celle-ci n'ait été formellement désactivée.
Banc d'essai commercial et résistance au prétraitement
Les travaux des chercheurs ne relèvent pas de la conjecture sur modèle ouvert de laboratoire. L'attaque a été testée directement contre les API et interfaces de production majeures, notamment Gemini 2.0 Flash (Google) et Grok-3 (xAI).
Selon les configurations et les familles de contenus toxiques évaluées, le contournement des garde-fous atteint des proportions critiques. Bien que ces métriques varient selon la définition formelle d'un refus et les versions d'API, la tendance de fond est indiscutable : les défenses actuelles sont quasi aveugles à ce vecteur.
L'argument classique des ingénieurs réseau consistait à parier sur les filtres d'ingestion passifs : redimensionner l'image, la réencoder en JPEG agressif ou altérer son échantillonnage pour casser le bruit adversarial. Les résultats d'Odysseus confirment que les signaux optimisés survivent à ces transformations légères. Le prétraitement cosmétique offre un faux sentiment de sécurité.
De l'amusement de chat à l'infection de l'agentique
Faire cracher un poème interdit à une boîte de dialogue n'est qu'un problème d'image de marque. Mais le déploiement massif d'agents IA autonomes transforme cette brèche en risque opérationnel de premier plan.
Un agent moderne navigue sur le web, inspecte des tableaux de bord, lit des factures en PDF, analyse des flux de caméras et exécute des appels de fonctions (tool calling). L'injection de prompt n'a plus besoin d'apparaître dans la console de l'administrateur :
- • Un logo piégé sur un site web visité par l'agent ordonne l'exfiltration silencieuse des clés d'API locales.
- • Une capture d'écran reçue par mail modifie le workflow de validation financière pour valider un virement frauduleux.
- • Une figure insérée dans un rapport PDF force le modèle à ignorer les consignes système précédentes et à altérer sa synthèse.
Plus nous donnons des bras, des yeux et des privilèges système aux modèles, plus le coût d'une inspection superficielle devient intenable.
Comment blinder les systèmes : cinq impératifs d'ingénierie
Il n'existe pas de correctif miracle à base d'une simple regex. La défense exige de revoir l'ensemble du pipeline d'ingestion multimodale :
Cesser d'inspecter texte et image séparément. Le filtre de sécurité doit évaluer la fusion sémantique complète : texte, tenseur visuel, contexte et intentions d'outils combinés avant toute exécution par le modèle central.
Intégrer des couches de détection d'irrégularités spectrales, de perturbations de haute fréquence et de bruit résiduel typique des attaques adversariales avant d'autoriser la tokenisation de l'image.
Ne pas se contenter d'un re-sauvetage JPEG standard. Appliquer des filtres de débruitage stochastique, du recadrage aléatoire et des compressions dynamiques dont l'impact sur la survie du payload a été rigoureusement audité en amont.
Entraîner les modèles à suspecter les instructions véhiculées visuellement au même titre que le texte. Si un motif visuel force un comportement impératif non sollicité par le prompt utilisateur, la politique de refus doit se déclencher au niveau de la jonction multimodale.
La défense ultime se situe hors du modèle. Un agent qui traite des images externes non vérifiées ne doit jamais posséder de droits d'écriture, d'accès réseau ou d'exécution de code sans barrière de confirmation humaine stricte et isolation cryptographique.
Une IA sans architecture de sécurité cohérente n'est pas un saut technologique : c'est juste une surface d'impact démultipliée.
• La fin de la naïveté : La première vague d'attaques ciblait les mots. La seconde attaque la perception brute.
• L'illusion du sas : Demander « cette entrée ressemble-t-elle à du texte sain ? » est dépassé. La seule question valable est : « comment l'espace latent du modèle va-t-il fusionner ce signal ? »
• Règle de fer : Les attaquants ne forcent plus le portail principal. Ils dissimulent leurs ordres directement dans la tapisserie.