Context Engineering — Section 10 : Sécurité & Gouvernance

Le Prompt Injection : L'Injection SQL des LLMs

Cette attaque consiste à injecter des instructions dans le contexte pour détourner le LLM de son objectif initial.

Défenses (en couches)

• 1. Structuration forte : Isoler les instructions, les données utilisateur et les sources externes avec des délimiteurs clairs (ex: balises XML).
• 2. "Sanitization" des entrées : Échapper ou supprimer les instructions potentielles du contenu externe avant de l'ajouter au contexte.
• 3. Modèle de détection : Utiliser un LLM plus simple et moins cher comme filtre pour classifier si un prompt est une tentative d'injection.

Redaction & Anonymisation des PII

PII = Personally Identifiable Information (Informations Personnelles Identifiables). Envoyer des PII à une API tierce (comme OpenAI) est une violation de la vie privée et du RGPD dans de nombreux cas.

Techniques de Détection

• Expressions Régulières (Regex) : Rapide pour les motifs évidents (email, téléphone, n° de CB).
• NER (Named Entity Recognition) : Modèles ML (ex: spaCy, Presidio) entraînés à reconnaître des entités (`PERSON`, `LOCATION`, `ORG`).
• LLM : Très efficace pour détecter des PII complexes, mais plus lent et coûteux.

Prévention des Fuites de Données (Data Leakage)

La fuite de données est le risque qu'un utilisateur accède à des informations auxquelles il ne devrait pas avoir droit.

Traçabilité & Piste d'Audit

Lorsque quelque chose ne va pas (une mauvaise réponse, une fuite de données), vous devez être capable de reconstruire exactement ce qui s'est passé. C'est le rôle de la traçabilité.

Informations Essentielles à Logger pour Chaque Requête

• Trace ID unique
• Timestamp
• User ID & Session ID
• Prompt utilisateur initial
• IDs des documents récupérés
• Contexte final envoyé au LLM
• Nom du modèle utilisé
• Réponse brute du LLM
• Toute erreur survenue
• Appels d'outils (nom, args, résultat)
• Latence et coût en tokens

Garde-fous (Guardrails) en Entrée et en Sortie

Les garde-fous sont des vérifications automatiques pour s'assurer que les entrées et les sorties respectent vos politiques.

Consentement & Transparence

La confiance de l'utilisateur est primordiale. Elle repose sur une communication claire et un contrôle donné à l'utilisateur.

• Consentement Éclairé : Pour toute fonctionnalité utilisant des données personnelles (en particulier la mémoire long terme), demandez un consentement explicite. Expliquez clairement quelles données sont stockées et pourquoi.
• Transparence des Sources : Affichez toujours les sources utilisées par le RAG pour générer une réponse. Des citations cliquables sont le meilleur moyen de construire la confiance.
• Indication de l'IA : Indiquez clairement que l'utilisateur interagit avec un système d'IA.
• Contrôle Utilisateur (RGPD) : Fournissez une interface où l'utilisateur peut voir les données que vous avez mémorisées sur lui et demander leur suppression (droit à l'oubli).

Pièges & Erreurs à Éviter

• Oublier les logs : Ne pas mettre en place une traçabilité complète dès le début. C'est impossible à rattraper après un incident.
• Contrôle d'accès laxiste : Permettre au retriever de chercher dans l'ensemble des documents sans filtrer par les droits de l'utilisateur.
• Dépendance à un seul fournisseur : Ne pas avoir de plan pour changer de fournisseur de LLM peut vous lier à ses failles de sécurité ou changements de politique.

Snippet 1 : Redaction de PII avec Presidio

# Presidio est une bibliothèque open-source de Microsoft pour la détection de PII
from presidio_analyzer import AnalyzerEngine
from presidio_anonymizer import AnonymizerEngine

# Initialisation des moteurs
analyzer = AnalyzerEngine()
anonymizer = AnonymizerEngine()

text = "My name is John Doe and my phone number is 212-555-1234."

# 1. Analyser le texte pour trouver les PII
analyzer_results = analyzer.analyze(text=text, language='en')

# 2. Anonymiser le texte en se basant sur les résultats
anonymized_result = anonymizer.anonymize(
    text=text,
    analyzer_results=analyzer_results
)

print(f"Original: {text}")
print(f"Anonymized: {anonymized_result.text}")
# Anonymized: My name is  and my phone number is .

# Le moteur peut aussi "dé-anonymiser" pour la réponse finale

Snippet 2 : Guardrail de sortie avec Pydantic (LLM-based)

from pydantic import BaseModel, ValidationError
import json

class User(BaseModel):
    name: str
    age: int

def output_guardrail(llm_output: str) -> bool:
    """Vérifie si la sortie du LLM est un JSON valide et conforme au schéma User."""
    try:
        data = json.loads(llm_output)
        User.model_validate(data)
        print("Guardrail PASSED: Output is valid.")
        return True
    except (json.JSONDecodeError, ValidationError) as e:
        print(f"Guardrail FAILED: {e}")
        return False

# llm_output_ok = '{"name": "Jane", "age": 30}'
# llm_output_bad = '{"name": "John"}' # 'age' manquant

# output_guardrail(llm_output_ok) # -> PASSED
# output_guardrail(llm_output_bad) # -> FAILED

Playbook de Déploiement

1. Étape 1 : Cartographier les flux de données. Avant d'écrire une ligne de code, dessinez un schéma de votre application. Identifiez toutes les sources de données, où elles sont traitées, et où elles sont envoyées. C'est votre "Threat Model".
2. Étape 2 : Sécuriser le Retriever. C'est la priorité #1. Implémentez un contrôle d'accès basé sur les métadonnées dans votre base de données vectorielle. Aucun utilisateur ne doit pouvoir récupérer des données qu'il n'est pas autorisé à voir.
3. Étape 3 : Mettre en place la Redaction de PII. Intégrez une bibliothèque comme Presidio dans un service dédié qui nettoie toutes les données avant qu'elles ne soient envoyées à une API tierce.
4. Étape 4 : Déployer une solution de Traçabilité. Intégrez LangSmith ou une solution similaire dès le premier jour. La visibilité est la clé de la sécurité.
5. Étape 5 : Construire des Guardrails de Sortie. Commencez par un guardrail simple qui valide la conformité de la sortie à un schéma JSON. Ajoutez ensuite un filtre de toxicité.
6. Étape 6 : Auditer régulièrement. La sécurité n'est pas un projet ponctuel. Mettez en place des revues de sécurité régulières, testez vos défenses contre les dernières techniques de prompt injection, et restez informé des nouvelles vulnérabilités.