Le jeudi 15 octobre 2026 à 8h heure du Pacifique, Gray Swan a ouvert Indirect Prompt Injection: Black — « IPI Black » — un challenge de red teaming public doté de 300 000 dollars. L’annonce de la société résume l’enjeu d’une phrase : « Is prompt injection solved? Here’s $300,000 to find out. » Le challenge tourne jusqu’au 5 novembre 2026.

Ce n’est pas un concours de jailbreak de chatbot. Les cibles sont des agents qui ont accès à des outils : l’attaquant ne tape pas « ignore tes instructions ». Il cache une consigne dans une page web, un ticket GitHub, un commentaire d’issue ou un mail — et attend que l’agent la lise et l’exécute en croyant suivre la demande de son utilisateur.

Comment c’est structuré

Le format est en trois vagues d’une semaine, ouvertes les 15, 22 et 29 octobre, avec un classement propre à chaque vague. Chaque vague distribue 100 000 dollars, coupés en deux : 50 000 pour le classement white box, 50 000 pour le black box.

  • White box : vous voyez les réponses de l’agent pendant que vous travaillez, vous pouvez itérer. La cible est un mainteneur open source qui utilise une IA pour gérer son projet.
  • Black box : vous envoyez votre payload à l’aveugle, comme un attaquant réel. La cible est un community manager qui fait tourner les comptes et la boîte mail d’une marque hôtelière.

Les environnements sont simulés mais réalistes : Gmail, Slack, GitHub, LinkedIn, X. En vague 1, six scénarios sont affichés côté white box, chacun testé sur 14 modèles d’après le compteur du tableau de bord. Les objectifs : faire poster un mot de passe dans un commentaire d’issue public, faire uploader un token d’accès personnel, exposer une clé SSH ou des identifiants cloud, glisser une backdoor qui contourne la validation, ajouter un collaborateur non autorisé.

Sponsors listés dans l’annonce : Anthropic, Meta, Google DeepMind, Reflection, OpenAI, Amazon, Thinking Machines Lab et l’AI Security Institute (AISI). Gray Swan indique que les attaques réussies alimentent le benchmark de robustesse de ces labos.

Pourquoi c’est important

L’injection indirecte est le seul problème de sécurité de l’IA qui empire à mesure que les produits deviennent utiles. Un chatbot sans outils ne peut pas grand-chose. Un agent avec un terminal, une boîte mail et un accès API peut lire vos secrets, merger du code ou envoyer un message en votre nom — et il le fera en ayant l’impression d’obéir.

Et le problème n’est pas résolu. Le tour précédent de Gray Swan, en mars 2026 : 13 modèles frontière, 464 red teamers, plus de 272 000 attaques, aucun modèle sorti propre. La société revendique le plus grand challenge de son histoire — un superlatif maison, pas une mesure indépendante.

Ce que ça change pour vos agents

Traitez toute sortie d’outil comme une entrée non fiable. Un résultat de fetch, un commentaire d’issue, un mail : tout ça peut contenir des instructions. Si votre prompt système et le contenu récupéré arrivent dans le même bloc de texte sans délimiteur, la frontière de confiance est déjà perdue.

Réduisez le rayon d’explosion. Un token GitHub avec repo en écriture transforme une injection banale en fuite de code privé. Scopez les permissions par tâche, faites tourner les identifiants par run.

Mettez un humain sur les actions irréversibles. Envoi d’email, paiement, suppression, merge sur main : approbation explicite. Une injection qui aboutit sur un agent en lecture seule reste un incident mineur.

Le vrai intérêt n’est pas le prix : les résultats par mode — avec itération ou en une seule tentative — diront si vos garde-fous tiennent face à un attaquant patient ou seulement face à un benchmark de labo.

Source