Le 13 octobre 2026, Google a publié les détails de sécurité de Gemini 4 Argon, son nouveau modèle phare, en mettant en avant un chiffre précis : un taux de réussite d’attaque de seulement 0,7 % sur le benchmark d’injection de prompt indirecte de Gray Swan, calculé sur 15 tentatives adaptatives. Ce chiffre a immédiatement relancé la comparaison avec les deux autres poids lourds du secteur, Claude Opus 4.5 d’Anthropic et GPT-5.2 d’OpenAI, sur un terrain qui n’a plus rien d’anecdotique : la résistance au prompt injection. Pour les équipes qui déploient des agents IA capables de lire des pages web, d’exécuter du code ou de se connecter à des serveurs MCP, ce n’est plus une question de confort mais de surface d’attaque réelle, avec des fuites de secrets et des exécutions de code à la clé.
Cet article compare les trois modèles sur leurs performances publiées face au prompt injection, détaille les benchmarks indépendants disponibles, chiffre les coûts d’accès à chaque modèle et propose un guide concret pour migrer ou renforcer une pile d’agents IA en production. L’angle est volontairement pratique : aucun de ces résultats ne doit être lu comme une preuve d’invulnérabilité, puisque chaque étude mesure un mode d’échec différent. Entre un benchmark commandé par l’éditeur lui-même, une arène crowdsourcée ouverte à des milliers de testeurs, et des retours d’incidents réels remontés par des équipes de sécurité, les chiffres racontent trois histoires qui se complètent sans jamais se superposer parfaitement.
Qu’est-ce que le prompt injection et pourquoi il inquiète autant en 2026
Le prompt injection reste, en 2026, un problème structurel plutôt qu’un bug ponctuel. Un modèle de langage traite tout ce qu’il reçoit comme une seule séquence de tokens : il n’existe pas de frontière de confiance native entre les instructions données par l’opérateur d’une application et le texte qui provient d’une page web, d’un e-mail, d’un document ou d’un ticket de support. C’est exactement ce que souligne la documentation de déploiement d’Anthropic, reprise par plusieurs analyses de sécurité en 2026 : un agent peut être détourné par le contenu qu’il traite, qu’il s’agisse de fichiers, de pages web ou de messages utilisateurs. Le NIST appelle ce scénario le détournement d’agent (agent hijacking), où une instruction malveillante cachée dans une donnée tierce prend le contrôle du raisonnement du modèle sans que l’utilisateur final s’en aperçoive.
La différence entre injection directe et injection indirecte est devenue centrale dans les comparatifs 2026. L’injection directe, du type “ignore les instructions précédentes”, est de moins en moins efficace contre les systèmes de pointe. Mais l’injection indirecte, celle qui se cache dans un document long, une description de pull request GitHub ou un ticket Jira, reste redoutable, car l’agent n’a aucune raison de se méfier d’un contenu qu’il a été explicitement chargé de lire. C’est précisément le terrain sur lequel Gemini 4 Argon, Claude Opus 4.5 et GPT-5.2 sont désormais évalués en continu par des équipes de red team externes comme Gray Swan.
Un incident documenté en 2026 illustre bien le niveau de sophistication atteint : un simple titre de pull request malveillant sur GitHub a suffi à faire fuiter des secrets dans trois workflows d’agents de code différents, visant Claude Code Security Review, l’action Gemini CLI de Google et l’agent Copilot de GitHub. Aucun de ces trois systèmes n’a été épargné, ce qui confirme que le problème est transversal à l’industrie et non spécifique à un seul fournisseur.
Gemini 4 Argon, Claude Opus 4.5 et GPT-5.2 : présentation des trois modèles
Gemini 4 Argon est le dernier modèle phare de Google, rendu public à la mi-octobre 2026. Dans son billet de blog consacré à la sécurité du modèle, Google met en avant un entraînement adversarial intégré et des vérifications de sécurité en temps réel, deux mécanismes présentés comme la raison du score obtenu sur le benchmark d’injection indirecte de Gray Swan. Ce positionnement sécuritaire tranche avec les communications précédentes de Google, davantage centrées sur les capacités de raisonnement brut.
Claude Opus 4.5 reste, sur le papier, le modèle le plus exposé aux tests indépendants à grande échelle. Anthropic documente depuis plusieurs générations son approche de la sécurité des agents dans sa documentation de déploiement, en insistant sur le fait que la défense contre ce type d’attaque ne se joue pas uniquement au niveau du modèle, mais aussi dans le périmètre des droits accordés à l’agent. Cette philosophie se traduit par des scores particulièrement bas dans les arènes crowdsourcées, comme on le verra plus loin.
GPT-5.2 complète ce trio. OpenAI continue de pousser ses modèles vers des usages agentiques étendus, du navigateur autonome à l’exécution de code, ce qui multiplie les points d’entrée pour une injection indirecte. Dans l’étude Wharton à grande échelle détaillée plus bas, GPT-5.2 affiche un comportement proche de celui de Claude Opus 4.5 face aux injections simples, mais les trois modèles n’ont pas été testés dans les mêmes conditions par les mêmes équipes, ce qui complique toute comparaison directe.
Tableau comparatif des caractéristiques et performances face au prompt injection
Le tableau suivant regroupe les données publiques disponibles en octobre 2026 sur les trois modèles. Certaines cases restent marquées “non communiqué” lorsque l’éditeur ou l’étude indépendante n’a pas publié de chiffre comparable pour ce modèle précis : mieux vaut l’indiquer que d’extrapoler une valeur.
| Critère | Gemini 4 Argon | Claude Opus 4.5 | GPT-5.2 |
|---|---|---|---|
| Éditeur | Anthropic | OpenAI | |
| Disponibilité | Octobre 2026 | Génération Opus 4.5 en cours | Génération GPT-5.2 en cours |
| Mécanisme de défense mis en avant | Entraînement adversarial + vérifications de sécurité en temps réel | Contrôle du périmètre des droits de l’agent, documentation de déploiement | Non détaillé publiquement avec la même granularité |
| Taux de réussite d’attaque, benchmark Gray Swan IPI (15 tentatives adaptatives) | 0,7 % | Non communiqué sur ce protocole précis | Non communiqué sur ce protocole précis |
| Taux de réussite d’attaque, arène crowdsourcée 272 000 attaques / 41 scénarios (succès strict : exécution + dissimulation) | Non inclus dans cette arène | 0,5 % | Non inclus dans cette arène |
| Effet moyen d’une injection simple sur ~40 000 essais de notation (étude Wharton) | Non testé dans cette étude | Effet faible à négligeable | Effet faible à négligeable |
| Vulnérabilité spécifique relevée | Non documentée à ce niveau de détail dans les sources publiques | Moindre sensibilité aux injections verbeuses en milieu de document | Comportement proche de Claude Opus 4.5 face aux injections non optimisées |
| Usage agentique principal testé | Navigateur, sécurité temps réel | Agents de code (Claude Code), MCP, navigateur | Agents de code, navigateur autonome |
| Positionnement tarifaire relatif | Comparable aux autres modèles frontières Google | Premium sur la gamme Claude | Premium sur la gamme GPT-5 |
| Documentation de sécurité dédiée au prompt injection | Billet de blog dédié, octobre 2026 | Documentation de déploiement continue | Moins détaillée publiquement sur ce point précis |
Ce tableau met en évidence un problème méthodologique récurrent dans ces comparatifs de sécurité : les trois modèles ne sont presque jamais évalués ensemble, dans les mêmes conditions, par le même laboratoire indépendant. Le chiffre de 0,7 % de Gemini 4 Argon vient du benchmark Gray Swan commandé par Google lui-même. Le chiffre de 0,5 % de Claude Opus 4.5 vient d’une arène crowdsourcée distincte, avec une définition de succès différente (exécution ET dissimulation). Comparer ces deux pourcentages comme s’ils mesuraient la même chose serait trompeur.
Les benchmarks indépendants, source par source
L’étude Wharton sur 40 000 essais de notation
Une étude technique publiée par le Wharton Generative AI Labs en 2026 a testé environ 40 000 essais de notation impliquant Claude Opus 4.5, Gemini 3 Pro et GPT-5.2. Le contexte est précis : des modèles utilisés comme correcteurs automatiques de copies, avec des instructions cachées insérées dans les documents soumis à la notation. Résultat global : les injections de prompt produisent une hausse moyenne statistiquement significative mais faible, autour de 2,6 points de pourcentage, sur l’ensemble des trois modèles frontières testés.
Le détail par modèle est plus parlant. Les injections simples et non optimisées ont un effet faible à négligeable sur Claude Opus 4.5 et GPT-5.2, et un effet majoritairement négligeable sur Gemini 3 Pro, précurseur de Gemini 4 Argon. Mais l’étude identifie une faille précise : Gemini 3 Pro montre une vulnérabilité significative face aux injections verbeuses placées au début ou au milieu de documents longs. Ce détail est important pour qui déploie des agents de lecture de longs rapports ou de contrats : la position de l’instruction malveillante dans le document compte autant que son contenu.
L’arène crowdsourcée de 272 000 attaques
Une deuxième source, une arène crowdsourcée documentée dans la base de connaissances sécurité d’OpenClaw, a rassemblé 272 000 tentatives d’attaque réparties sur 41 scénarios d’agents. La règle de notation y est volontairement stricte : une attaque n’est comptée comme réussie que si l’agent exécute l’action nuisible ET parvient à la dissimuler à l’utilisateur. Sous ce critère exigeant, Claude Opus 4.5 affiche un taux de réussite d’attaque de 0,5 %, Claude Sonnet 4.5 de 1,0 %, Claude Haiku 4.5 de 1,3 %, et Gemini 2.5 Pro de 8,5 %.
Cet écart entre 0,5 % et 8,5 % au sein d’une même arène, avec la même méthodologie, est la donnée la plus directement comparable de tout ce comparatif. Elle suggère une marge de progression nette entre la génération Gemini 2.5 et les protections mises en avant pour Gemini 4 Argon, même si les deux modèles n’ont pas, à ce jour, été confrontés dans la même arène.
Les attaquants adaptatifs changent la donne
Les benchmarks statiques, aussi rigoureux soient-ils, ne capturent pas tout. Une synthèse citée dans l’analyse de sécurité de l’arène OpenClaw rappelle qu’un attaquant humain adaptatif peut obtenir des résultats nettement supérieurs à ceux des benchmarks figés : certaines synthèses rapportent des taux de réussite d’attaque supérieurs à 80 % contre des défenses pourtant qualifiées d’état de l’art, une fois que l’attaquant ajuste sa méthode en fonction des réponses du modèle. Un travail de systématisation des connaissances, synthétisant 78 études publiées entre 2021 et 2026, rapporte même des taux de réussite d’attaque adaptative supérieurs à 85 % contre des défenses de pointe.
Ce chiffre à lui seul relativise tous les scores à 0,5 % ou 0,7 % évoqués plus haut. Un benchmark avec un nombre fixe de tentatives (15 pour Gray Swan, par exemple) mesure la résistance face à un attaquant qui ne connaît pas en détail les réponses successives du système. Un attaquant réel, motivé et itératif, dispose de davantage de temps et de retours pour affiner son injection.
Les défenses qui fonctionnent réellement, selon une évaluation à 15 000 attaques
Au-delà de la comparaison entre modèles, une évaluation publiée en 2026 et référencée sur arXiv a testé différentes couches de défense contre le prompt injection, indépendamment du modèle sous-jacent. Le résultat est net : le filtrage de sortie (output filtering), qui vérifie les réponses du modèle via des règles codées en dur dans une couche applicative séparée avant qu’elles n’atteignent l’utilisateur, est la seule défense testée qui a maintenu zéro fuite sur 15 000 attaques.
À l’inverse, l’empilement de défenses dépendantes du modèle, sans filtrage de sortie, n’a pas réussi à éliminer complètement les fuites, même si cela a réduit la gravité du pire des cas à 0,10 sur 5 000 attaques. Autrement dit : aucune combinaison de garde-fous internes au modèle, qu’il s’agisse de Gemini, Claude ou GPT, ne remplace une couche de vérification applicative externe et indépendante du raisonnement du modèle lui-même.
Cette conclusion rejoint un autre repère méthodologique, le framework PromptGuard, une défense modulaire à quatre couches documentée dans Nature Scientific Reports en janvier 2026 et reprise dans la synthèse de recherche de l’OWASP AISVS, qui revendique une réduction de 67 % du taux de succès des injections avec un score F1 de 0,91. Ces chiffres viennent d’une architecture de défense, pas d’un modèle précis, ce qui renforce l’idée que cette résistance se construit autant côté infrastructure que côté modèle.
Tarification : coût d’accès à chaque modèle en octobre 2026
La sécurité a un coût, et ce coût varie selon le modèle choisi. Les trois éditeurs communiquent leurs tarifs par million de tokens pour un accès API, en plus de leurs offres d’abonnement grand public. Le tableau ci-dessous reflète le positionnement relatif de chaque gamme tel que documenté par les éditeurs eux-mêmes ; les tarifs exacts évoluant fréquemment, il convient de vérifier le prix en vigueur avant toute décision budgétaire définitive.
| Modèle | Positionnement | Public cible principal | Offre grand public équivalente |
|---|---|---|---|
| Gemini 4 Argon | Haut de gamme Google, aligné sur les modèles frontières concurrents | Entreprises, développeurs d’agents, intégrations Google Cloud | Gemini via abonnement Google AI |
| Claude Opus 4.5 | Premium sur la gamme Claude, au-dessus de Sonnet 4.5 et Haiku 4.5 | Agents de code complexes, usages à fort enjeu de sécurité | Claude via abonnement Pro/Max d’Anthropic |
| GPT-5.2 | Premium sur la gamme GPT-5, usage agentique étendu | Navigateur autonome, intégrations OpenAI étendues | ChatGPT via abonnement Plus/Pro |
Un point mérite d’être souligné : aucun des trois éditeurs n’a publié, à ce jour, de grille tarifaire différenciée selon le niveau de protection contre ce type d’attaque. La robustesse face à ces instructions malveillantes est intégrée au modèle de base et ne constitue pas une option payante séparée. Pour les entreprises qui veulent aller plus loin, le surcoût se trouve plutôt dans la couche de défense applicative externe (filtrage de sortie, sandboxing, monitoring des appels d’outils), qui s’ajoute au prix du modèle lui-même.
CVE récentes et incidents documentés en 2026
Le prompt injection n’est plus une menace théorique dans les laboratoires de recherche : elle produit des identifiants CVE concrets. Microsoft a ainsi divulgué en 2026 des vulnérabilités corrigées dans Semantic Kernel, dont CVE-2026-26030, qui permettait une exécution de code à distance via une injection de prompt dans un filtre de magasin vectoriel en mémoire, et CVE-2026-25592, qui concernait une évasion de bac à sable via le dossier de démarrage Windows. Ces deux failles montrent que ce type d’attaque ne reste pas confiné à la génération de texte : elle peut déclencher des effets de bord avec un impact système réel dès lors qu’un agent dispose de permissions d’exécution.
Un précédent incident lié au serveur MCP de GitHub a montré comment un simple ticket malveillant déposé dans un dépôt GitHub pouvait détourner un agent connecté à ce serveur et exposer des données de dépôts privés. Cet incident a servi de signal d’alarme à l’ensemble de l’écosystème MCP : les permissions accordées, la surveillance des appels d’outils et l’isolation des dépôts comptent autant que la robustesse du modèle sous-jacent.
Le 30 avril 2026, la CISA, la NSA et leurs partenaires du Five Eyes ont publié une recommandation conjointe sur l’adoption sécurisée de l’IA agentique, avertissant que cette classe d’attaque reste une menace persistante qu’aucun contrôle unique ne permet d’éliminer. Le même mois, des chercheurs ont démontré qu’une injection déposée dans le titre d’une pull request GitHub suffisait à faire fuiter des secrets dans trois workflows d’agents de code distincts, confirmant que le problème traverse les frontières entre éditeurs.
Cinq cas d’usage concrets et quel modèle privilégier
Le choix entre Gemini 4 Argon, Claude Opus 4.5 et GPT-5.2 dépend avant tout du cas d’usage et de la surface d’exposition à ce type d’attaque. Voici cinq scénarios fréquents en entreprise, avec la recommandation qui en découle au regard des données disponibles.
- Agent de navigation web autonome qui visite des pages non vérifiées : Gemini 4 Argon affiche le score publié le plus bas sur un benchmark d’injection indirecte dédié (0,7 % sur Gray Swan), ce qui en fait un candidat sérieux pour ce scénario à haute exposition, à condition de coupler le modèle à un filtrage de sortie applicatif indépendant.
- Agent de revue de code connecté à des pull requests externes : l’incident documenté en 2026 a touché Claude Code Security Review, l’action Gemini CLI et l’agent Copilot de GitHub simultanément. Aucun modèle n’est à l’abri ici ; la priorité va à l’isolation des permissions d’exécution plutôt qu’au choix du modèle.
- Correction automatique de copies ou de documents longs : l’étude Wharton montre que Claude Opus 4.5 et GPT-5.2 résistent mieux que Gemini 3 Pro aux injections verbeuses placées en milieu de document long. En attendant des données équivalentes sur Gemini 4 Argon, Claude Opus 4.5 ou GPT-5.2 restent les choix les mieux documentés pour ce cas précis.
- Agent connecté à un serveur MCP avec accès à des données sensibles : le score de 0,5 % de Claude Opus 4.5 dans l’arène crowdsourcée à critère strict (exécution + dissimulation) en fait une référence pour ce type de déploiement, mais le filtrage de sortie reste la seule mesure ayant éliminé totalement les fuites dans l’évaluation à 15 000 attaques citée plus haut, quel que soit le modèle.
- Support client automatisé traitant des tickets issus de sources externes : les trois modèles sont exposés de façon comparable selon l’étude Wharton face aux injections simples et non optimisées. La différenciation se joue moins sur le choix du modèle que sur la mise en place d’une validation humaine pour toute action à conséquence irréversible (remboursement, changement de permission, envoi de données).
Guide de migration : passer d’un modèle à un autre sans casser sa défense anti-injection
Changer de modèle pour des raisons de sécurité n’est jamais une opération neutre. Les protections mises en avant par chaque éditeur reposent sur des mécanismes internes différents, et une migration mal préparée peut recréer les failles que l’on cherchait justement à corriger. Voici une marche à suivre pour migrer une pile d’agents IA de GPT-5.2 ou Claude Opus 4.5 vers Gemini 4 Argon, ou dans l’autre sens, sans régression de sécurité.
- Cartographier tous les points d’entrée de contenu non fiable dans l’agent existant : pages web visitées, pièces jointes, tickets, pull requests, résultats d’outils MCP. Cette cartographie ne change pas selon le modèle cible, mais elle doit être faite avant toute migration.
- Vérifier que la couche de filtrage de sortie actuelle est bien indépendante du modèle, c’est-à-dire codée en dur dans l’application et non déléguée au modèle lui-même. Si ce n’est pas le cas, la corriger avant de changer de modèle, car c’est la seule défense ayant montré zéro fuite sur 15 000 attaques dans l’évaluation arXiv citée plus haut.
- Reproduire, sur le nouveau modèle, les scénarios de test qui ont déjà fait l’objet d’incidents documentés dans l’industrie : injection dans un titre de pull request, injection dans un ticket GitHub connecté à un serveur MCP, injection verbeuse en milieu de document long.
- Réduire au strict minimum les permissions accordées à l’agent avant la bascule, conformément à la philosophie défendue par Anthropic dans sa documentation de déploiement : cette défense se joue autant dans le périmètre des droits que dans le modèle.
- Activer le monitoring des appels d’outils en amont de la migration, pas après : un changement de modèle modifie souvent la fréquence et la nature des appels d’outils déclenchés, ce qui peut masquer une régression si le monitoring n’est pas déjà en place.
- Faire tourner les deux modèles en parallèle sur un sous-ensemble de trafic réel pendant une période de transition, en comparant le nombre d’actions bloquées par le filtrage de sortie plutôt que les scores de benchmark publiés par les éditeurs, qui ne sont pas comparables entre eux comme expliqué plus haut.
- Documenter tout incident de la période de transition dans un format compatible avec les obligations de signalement en vigueur en Europe, notamment celles qui imposent une notification rapide des failles touchant des composants cryptographiques ou de sécurité critiques.
- Ne basculer en production complète qu’après validation du comportement du nouveau modèle sur au moins un cycle de charge réel, et conserver la possibilité de revenir à l’ancien modèle via un simple changement de configuration, pas un redéploiement complet.
Avantages et inconvénients de chaque modèle face au prompt injection
Gemini 4 Argon
Le principal atout de Gemini 4 Argon est la communication détaillée de Google autour de son mécanisme de défense, avec un chiffre précis et un protocole de test nommé (Gray Swan IPI, 15 tentatives adaptatives). Cette transparence facilite l’évaluation par des équipes de sécurité externes. L’inconvénient : ce score n’a pas encore été confronté, à notre connaissance, à l’arène crowdsourcée de 272 000 attaques qui a servi de référence pour Claude. Il est donc difficile de savoir si Gemini 4 Argon tiendrait le même niveau face à un volume d’attaques comparable et à des attaquants humains adaptatifs plutôt qu’à un nombre fixe de tentatives.
Claude Opus 4.5
Claude Opus 4.5 bénéficie du test le plus massif et le plus exigeant de ce comparatif : 272 000 attaques, avec un critère de succès strict qui exige à la fois l’exécution de l’action nuisible et sa dissimulation à l’utilisateur. Un score de 0,5 % dans ces conditions est solide. L’inconvénient : Anthropic insiste elle-même sur le fait que la robustesse du modèle ne suffit pas, et que la défense dépend largement du périmètre de droits accordé à l’agent, ce qui déplace une partie de la responsabilité vers l’intégrateur plutôt que vers le modèle seul.
GPT-5.2
GPT-5.2 affiche, selon l’étude Wharton, un comportement proche de celui de Claude Opus 4.5 face aux injections simples et non optimisées, avec un effet faible à négligeable sur la notation. L’inconvénient principal est un déficit de communication publique : contrairement à Google et dans une moindre mesure Anthropic, OpenAI n’a pas publié, au moment de la rédaction de cet article, de protocole de test dédié à ce type d’attaque avec un chiffre unique et nommé équivalent au 0,7 % de Gray Swan ou au 0,5 % de l’arène crowdsourcée.
Pourquoi les scores de benchmark ne suffisent pas à trancher
Un point revient dans toutes les sources consultées pour ce comparatif : les scores de benchmark statique, les arènes crowdsourcées et les attaques adaptatives mesurent trois choses différentes. Un score de 0,7 % sur 15 tentatives adaptatives décrit la résistance face à un attaquant qui dispose d’un nombre limité d’essais. Un score de 0,5 % sur 272 000 attaques avec critère strict décrit la résistance face à un volume massif d’attaques variées, mais toujours dans un cadre de test contrôlé. Un taux de réussite supérieur à 80 % contre des défenses de pointe, rapporté par des synthèses d’attaques adaptatives humaines, décrit ce qui se passe quand un attaquant motivé ajuste sa méthode en fonction des retours du système, sans limite de tentatives ni cadre contrôlé.
Cette distinction explique pourquoi la seule défense ayant montré zéro fuite sur 15 000 attaques dans l’évaluation arXiv citée plus haut n’est pas une amélioration du modèle, mais une couche de filtrage de sortie externe au modèle. Un modèle plus robuste réduit la fréquence des tentatives réussies, mais ne remplace pas une vérification indépendante des actions avant qu’elles ne produisent un effet réel, surtout face à un attaquant qui dispose de temps et de retours pour affiner son approche.
Pour une équipe de sécurité qui doit choisir entre Gemini 4 Argon, Claude Opus 4.5 et GPT-5.2, la bonne question n’est donc pas “lequel a le meilleur score”, mais “quel mode d’échec ce score mesure-t-il réellement”. Un chiffre issu de 15 tentatives adaptatives rassure sur la résistance face à un attaquant pressé. Un chiffre issu de 272 000 attaques rassure sur la résistance face au volume. Aucun des deux ne garantit la résistance face à un attaquant patient qui a plusieurs semaines pour trouver la faille, ce qui ramène systématiquement la discussion vers l’architecture de défense plutôt que vers le choix du modèle seul.
Impact sur les agents de code et les intégrations MCP
Les serveurs MCP (Model Context Protocol) sont devenus, en 2026, l’un des vecteurs d’attaque les plus discutés dans les comparatifs de sécurité IA. Le principe du MCP est de connecter un modèle à des outils externes, dépôts de code, bases de données, systèmes de tickets, via un protocole standardisé. Ce qui fait la force du MCP, la facilité de connexion à des sources de données tierces, est aussi ce qui en fait une cible privilégiée pour l’injection indirecte : toute donnée récupérée par un outil MCP devient potentiellement une instruction pour le modèle.
L’incident impliquant le serveur MCP de GitHub, où un ticket malveillant a permis de détourner un agent et d’exposer des données de dépôts privés, a poussé l’ensemble de l’écosystème à revoir ses pratiques par défaut. Les recommandations qui en sont ressorties sont cohérentes avec les enseignements tirés de ce comparatif : limiter les permissions des serveurs MCP au strict nécessaire, isoler les dépôts sensibles, et surveiller les appels d’outils plutôt que de faire confiance au seul jugement du modèle connecté.
Les deux CVE Microsoft mentionnées plus haut, CVE-2026-26030 et CVE-2026-25592, concernent précisément ce type d’architecture : un filtre de magasin vectoriel en mémoire exploité via une injection de prompt, et une évasion de bac à sable via un dossier système. Ces failles rappellent qu’une architecture d’agent mal cloisonnée peut transformer une simple réponse de modèle en exécution de code arbitraire, quel que soit le niveau de robustesse du modèle sous-jacent face aux benchmarks de sécurité classiques.
Le cadre réglementaire européen et le signalement des failles
En Europe, cette menace n’échappe pas à la montée en puissance des obligations de cybersécurité qui pèsent sur les éditeurs de logiciels. Les entreprises qui déploient des agents IA connectés à des systèmes tiers doivent de plus en plus intégrer ces risques dans leurs obligations de signalement, dans un paysage réglementaire marqué par des exigences croissantes de transparence sur les vulnérabilités touchant des composants critiques, y compris ceux liés à l’IA. Les recommandations conjointes de la CISA, de la NSA et de leurs partenaires du Five Eyes, publiées en avril 2026, participent de cette même dynamique en cadrant les bonnes pratiques d’adoption sécurisée de l’IA agentique à l’échelle internationale.
Pour les équipes françaises et européennes qui évaluent Gemini 4 Argon, Claude Opus 4.5 ou GPT-5.2, cette dimension réglementaire doit entrer dans la décision au même titre que les scores de benchmark : la capacité d’un éditeur à documenter publiquement ses mécanismes de défense, comme l’a fait Google pour Gemini 4 Argon, facilite grandement les audits de conformité internes.
Verdict : quel modèle choisir en fonction des données disponibles
Sur la base des données publiques disponibles en octobre 2026, aucun des trois modèles ne peut être qualifié de gagnant absolu face à ce type d’attaque, et c’est précisément le message que portent les chercheurs eux-mêmes en insistant sur le fait qu’aucun benchmark ne doit être pris comme une mesure définitive. Gemini 4 Argon affiche le score le plus bas sur un protocole de test spécifique (0,7 % sur Gray Swan, 15 tentatives adaptatives), avec une communication de sécurité détaillée qui facilite l’évaluation externe. Claude Opus 4.5 affiche le score le plus bas sur le test le plus massif et le plus exigeant de ce comparatif (0,5 % sur 272 000 attaques avec critère strict d’exécution et de dissimulation). GPT-5.2 se situe dans une zone de performance comparable à Claude Opus 4.5 sur les injections simples, selon l’étude Wharton, mais avec une communication publique moins détaillée sur ses mécanismes de défense spécifiques.
La recommandation la plus solide qui se dégage de l’ensemble de ces sources n’est pas de choisir un modèle plutôt qu’un autre, mais d’ajouter systématiquement une couche de filtrage de sortie indépendante du modèle : c’est la seule mesure qui a montré zéro fuite sur 15 000 attaques dans l’évaluation arXiv la plus rigoureuse de ce comparatif, quel que soit le modèle utilisé en amont. Le choix entre Gemini 4 Argon, Claude Opus 4.5 et GPT-5.2 doit ensuite se faire au cas par cas, en fonction du type de contenu non fiable auquel l’agent sera exposé : documents longs et verbeux, tickets et pull requests externes, ou navigation web autonome.
Questions fréquentes sur le prompt injection et les modèles IA
Gemini 4 Argon est-il vraiment plus sûr que Claude Opus 4.5 face au prompt injection ?
Les deux modèles affichent des scores très bas, 0,7 % et 0,5 % respectivement, mais sur des protocoles de test différents, menés par des équipes différentes, avec des définitions de succès différentes. Il n’existe pas, à ce jour, de benchmark unique ayant testé les deux modèles dans les mêmes conditions exactes, ce qui rend toute affirmation de supériorité absolue prématurée.
Qu’est-ce qu’une injection de prompt indirecte ?
C’est une instruction malveillante cachée dans un contenu que le modèle traite sans le savoir, comme une page web, un document, un e-mail ou un ticket, par opposition à une injection directe tapée dans la conversation par l’utilisateur. L’injection indirecte est généralement plus difficile à détecter car le modèle n’a aucune raison de se méfier d’un contenu qu’il a été chargé de lire.
Le filtrage de sortie suffit-il à se protéger du prompt injection ?
Dans l’évaluation arXiv citée dans cet article, le filtrage de sortie a été la seule défense testée à atteindre zéro fuite sur 15 000 attaques. Mais cette évaluation testait des défenses isolées : en pratique, il reste recommandé de le combiner avec une limitation stricte des permissions de l’agent et un monitoring des appels d’outils.
Les agents de code comme Claude Code ou GitHub Copilot sont-ils concernés par le prompt injection ?
Oui. Un incident documenté en 2026 a montré qu’un simple titre de pull request malveillant pouvait faire fuiter des secrets via Claude Code Security Review, l’action Gemini CLI de Google et l’agent Copilot de GitHub, les trois simultanément.
Pourquoi les scores de benchmark sur le prompt injection varient-ils autant entre les études ?
Parce qu’ils mesurent des choses différentes : un nombre fixe de tentatives adaptatives, un volume massif d’attaques crowdsourcées avec critère de succès strict, ou un taux de réussite contre un attaquant humain qui ajuste sa méthode sans limite de tentatives. Certaines synthèses rapportent des taux de réussite d’attaque adaptative supérieurs à 80 %, voire 85 % dans une systématisation de 78 études, contre des défenses pourtant qualifiées d’état de l’art.
Un serveur MCP augmente-t-il le risque de prompt injection ?
Oui, par construction. Un serveur MCP connecte le modèle à des sources de données externes, ce qui multiplie les points d’entrée pour une injection indirecte. L’incident du serveur MCP de GitHub, où un ticket malveillant a permis d’exposer des données de dépôts privés, illustre ce risque concret.
Faut-il migrer vers Gemini 4 Argon pour des raisons de sécurité uniquement ?
Pas nécessairement. Le score de 0,7 % de Gemini 4 Argon est solide, mais il n’a pas été mesuré dans la même arène que les 0,5 % de Claude Opus 4.5. Une migration de modèle motivée uniquement par un chiffre de benchmark, sans révision du périmètre de permissions de l’agent et sans couche de filtrage de sortie indépendante, risque de ne pas améliorer la sécurité réelle du système.
Les injections de prompt peuvent-elles mener à une exécution de code à distance ?
Oui, dans certaines architectures. Les vulnérabilités Microsoft CVE-2026-26030 et CVE-2026-25592, corrigées dans Semantic Kernel en 2026, montrent qu’une injection de prompt peut, dans un contexte d’agent mal cloisonné, déclencher une exécution de code à distance ou une évasion de bac à sable, bien au-delà d’une simple réponse textuelle indésirable.