Les modèles à poids ouverts se laissent plus facilement guider par des instructions cachées dans les données lorsqu'ils font fonctionner des agents. L'entreprise de sécurité PromptArmor a publié le 16 octobre 2026 les résultats de 9 800 essais menés avec des chaînes d'attaque réelles d'injection indirecte de prompt : le taux de susceptibilité du groupe ouvert s'établit à 26,7 %, contre 14,2 % pour le groupe propriétaire, soit un écart de 88 %. Le groupe ouvert réunissait DeepSeek, Kimi, GLM et Qwen ; le groupe propriétaire réunissait GPT, Claude et Gemini, avec pour chaque fournisseur le dernier modèle phare et la dernière variante économique.
Les écarts les plus nets apparaissent quand l'agent agit
L'injection indirecte est dangereuse parce que l'attaquant ne s'adresse jamais directement au modèle. Les instructions sont enfouies dans une page web, un document ou un courriel que l'agent lit, et le modèle exécute des données comme s'il s'agissait d'ordres. Les trois exemples d'attaque aux écarts les plus marqués impliquent tous des actions réelles. Dans un scénario où un agent enquêtant sur un site d'attaquant finissait par exécuter du code malveillant, les taux étaient de 49 % pour le groupe ouvert et de 9 % pour le groupe propriétaire. Un document malveillant poussant l'agent à afficher une fausse fenêtre de connexion donnait 36 % contre 5 %. Un courriel injecté qui faisait fuiter le contenu du courrier via une image Markdown donnait 23 % contre 9 %. L'écart ne tient donc pas au ton des réponses, mais au fait qu'un agent disposant d'outils et de droits prenne ou non des instructions étrangères pour une partie de sa tâche.
Le rapport livre aussi une comparaison contre-intuitive. Chez les fournisseurs propriétaires, les modèles économiques étaient 169 % plus susceptibles que leurs propres modèles phares ; chez les fournisseurs ouverts, les modèles économiques étaient au contraire environ 5 % plus robustes que leurs modèles phares. Dans le détail, les nouveaux modèles économiques des lignes Claude et GPT se laissaient compromettre plus facilement que leurs anciens modèles phares, tandis que ceux de Qwen et DeepSeek tenaient mieux que les leurs. Demander seulement si un modèle est le plus récent ne suffit manifestement pas.
Comment lire ces chiffres
La méthode doit être énoncée clairement. Ces résultats proviennent des chaînes d'attaque et de l'environnement d'évaluation propres à PromptArmor, construits à partir d'attaques que l'entreprise dit avoir repérées dans de vrais produits d'agents ; il ne s'agit pas d'une reproduction indépendante par un tiers. Les versions de modèles, les prompts système et la configuration des outils modifient tous le résultat, si bien que 26,7 % et 14,2 % se lisent comme une comparaison de risques relatifs, et non comme un verdict de sécurité définitif sur un modèle donné. Les deux chiffres partagent en outre une propriété : aucun n'est nul. Même à 14,2 %, le groupe le plus performant laisse passer environ une chaîne d'attaque réaliste sur sept.
Pour les équipes qui déploient des agents, trois conclusions sont actionnables. D'abord, traiter la susceptibilité aux injections comme un critère de choix au même titre que les benchmarks et le prix, surtout pour les agents qui lisent des documents, des pages et des courriels externes. Ensuite, ne pas présumer qu'un modèle économique hérite du comportement de sécurité de son modèle phare ; le retester avec ses propres données métier avant le lancement. Enfin, ne pas faire reposer la défense sur le seul jugement du modèle : moindre privilège sur les outils, confirmation des actions sortantes et marquage explicite des contenus récupérés comme données non fiables sont des mesures système dont les deux groupes ont également besoin. L'évaluation externe entre elle aussi dans les laboratoires, comme le montre Anthropic accueillant des évaluateurs en interne ; lus ensemble, le contrôle de la sécurité des agents glisse des scores de benchmark vers les chaînes d'attaque réelles.
