Jailbreak LLM : Comment sécuriser les modèles d’IA contre les techniques de contournement ?

Malgré des investissements massifs en sécurité et en alignement depuis 2023, les modèles de langage les plus récents restent contournables. Une étude de Unit 42 publiée en 2024 rapporte un taux moyen de réussite de 64,6% pour une technique de jailbreak multi-tour testée sur huit modèles. Une prépublication consacrée à JBFuzz, publiée en 2025, rapporte ensuite un taux moyen de 99% pour une méthode automatisée fondée sur le fuzzing, évaluée sur neuf modèles. Contrairement au prompt injection, qui détourne un système via une donnée externe traitée comme une instruction, le jailbreak vise directement le modèle lui-même : il cherche à contourner ses garde-fous d’alignement pour lui faire produire un contenu qu’il refuserait normalement de générer.

Pourquoi l’alignement des modèles de langage (LLM) ne suffit jamais complètement

L’alignement d’un modèle repose sur un entraînement qui lui apprend à refuser certaines catégories de requêtes explicitement formulées. Le problème structurel est que ce refus s’apprend sur des exemples de requêtes directes, alors qu’un jailbreak efficace ne demande presque jamais frontalement ce qu’il cherche à obtenir. Chaque nouvelle génération de modèle comble les failles connues de la précédente, mais la créativité des techniques de contournement progresse au moins aussi vite que les défenses, un jeu à somme nulle plutôt qu’une course vers une solution définitive.

Techniques de jailbreak IA : du prompt DAN aux attaques multi-tours (Crescendo, Many-Shot)

Le DAN (Do Anything Now) est une technique de débridage, dans laquelle les utilisateurs demandent à un LLM de jouer le rôle de « DAN », un modèle d’IA sans règle. Popularisé dès 2023, il reste une référence historique des attaques de type role-play, mais son efficacité a fortement diminué sur les déploiements récents. Une étude de Unit 42 publiée en 2025 rapporte des taux de réussite compris entre 7,5% et 9,2% selon les objectifs évalués, tandis qu’une étude publiée en 2026 rapporte des taux de réussite compris entre 0% et 25% pour un prompt DAN statique testé sur plusieurs modèles récents : 25% sur Gemini 2.5 Flash et Gemini 2.0 Flash, 16,7% sur Gemini 2.5 Pro, mais 0% sur GPT‑4.1, GPT‑4.1 mini, GPT‑5 mini et GPT‑5 nano. Ces résultats montrent que l’efficacité du DAN dépend fortement du modèle, de la variante utilisée et du protocole expérimental.

Les attaques multi-tours constituent aujourd’hui l’une des familles de jailbreak les plus étudiées et les plus performantes. Leur principe commun : ne jamais formuler la requête sensible dès le premier message, mais amener le modèle pas à pas, sur plusieurs échanges apparemment anodins, vers la production du contenu recherché. La technique Crescendo, publiée par des chercheurs de Microsoft et présentée à USENIX Security en 2025, en est l’un des exemples les plus documentés : elle démarre par une question générale et bénigne, puis escalade progressivement le dialogue en s’appuyant sur les réponses précédentes du modèle lui-même. Les résultats publiés sont éloquents, dans l’évaluation automatisée Crescendomation, Crescendo a compromis 49 tâches sur 50 contre GPT‑4, soit un taux de réussite binaire de 98%, et les 50 tâches contre Gemini Pro, soit 100%. Son taux moyen de réussite dépassait celui des méthodes de référence de 29 à 61% sur GPT‑4 et de 49 à 71% sur Gemini Pro, selon la méthode comparée.

Les travaux sur Crescendo et les benchmarks multi‑tours montrent que le risque ne vient pas d’une « requête unique » isolée, mais de l’accumulation de tours : chaque message pris séparément peut sembler acceptable, alors que l’enchaînement progressif conduit vers une demande que le modèle aurait refusée si elle avait été formulée directement

Les attaques de type many-shot jailbreaking exploitent les longues fenêtres de contexte des modèles : en ajoutant des centaines de faux exemples de dialogues dans lesquels l’assistant répond de manière complaisante à des demandes qu’il devrait normalement refuser, puis une requête cible, elles peuvent augmenter la probabilité que le modèle adopte ce comportement nuisible au lieu d’appliquer ses garde-fous habituels. Cette vulnérabilité a été documentée par les chercheurs d’Anthropic dans une publication de 2024, dans le cadre d’une démarche de recherche sur la sécurité et l’alignement des modèles

Vulnérabilité IA et fuzzing automatisé : quels risques pour les entreprises?

Ces taux de réussite élevés ne concernent pas uniquement les tentatives malveillantes isolées et artisanales : des outils automatisés de fuzzing tel que JBFruzz, capables de tester des milliers de variantes en peu de temps, ont démontré une efficacité proche de 99 % sur plusieurs modèles majeurs avec toutefois une forte dépendance au protocole, aux modèles testés et aux critères utilisés pour définir le jailbreak. Pour une entreprise qui expose un assistant IA à des utilisateurs externes (support client, chatbot public, agent commercial automatisé) cela signifie qu’aucun modèle, quelle que soit sa réputation de robustesse, ne peut être considéré comme intrinsèquement à l’abri d’un contournement mené par un attaquant déterminé et patient.

Sécurisation des LLM et défense en profondeur : réduire l’exposition des agents IA

• La sécurité d’un agent ne doit pas reposer uniquement sur l’alignement du modèle : les contrôles doivent également limiter les données auxquelles il accède, les outils qu’il peut appeler et les actions qu’il peut exécuter, afin de réduire l’impact d’un éventuel contournement.
• Surveiller les conversations longues et progressives : les attaques multi-tours peuvent dissimuler ou introduire progressivement une intention malveillante. La surveillance devrait donc conserver le contexte de session et évaluer l’évolution de la conversation, plutôt que chaque message isolément.
• Tester avec des scénarios multi-tours réalistes : les campagnes de sécurité devraient inclure des échanges avec escalade progressive, dissimulation de l’intention et adaptation aux réponses du modèle. Des travaux publiés en 2025 ont montré que de telles attaques pouvaient atteindre des taux de réussite élevés sur plusieurs modèles dans leurs protocoles expérimentaux.
• Prévoir une supervision humaine sur les usages à fort impact : toute action financière, juridique, sensible ou irréversible devrait être soumise à une approbation humaine ou à un contrôle indépendant avant exécution. L’autorisation doit être appliquée dans l’application ou le système en aval, et non laissée à la seule décision du modèle.

→ Voir notre guide des architectures et vecteurs de risques IA pour resituer ce vecteur dans l’ensemble des risques propres à un système IA.

FAQ : vulnérabilités des modèles d’IA générative et contournement

Audit de sécurité et pentest IA : tester la résistance de vos systèmes face au jailbreak

Nos experts évaluent l’exposition réelle de vos systèmes IA au jailbreak et testent activement leur résistance dans le cadre de notre offre de pentest IA. Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.