Un cadre pour penser les menaces des systèmes à IA avant qu'elles ne deviennent des incidents : ce qu'on défend, ce qui échappe aux grilles classiques, et la preuve qui fait baisser le risque.
Comment lire ce catalogue
- Descriptionla menace, décrite de façon générique, sans référence à aucun système réel.
- Pourquoi les grilles classiques la ratentl'angle mort que les modèles de menace traditionnels ne couvrent pas.
- La solution Banana Navyla mitigation concrète, le contrôle associé, la preuve attendue — ce qui ferait baisser la cote : une baisse conditionnelle, tracée et réversible, conformément à la méthode Banana Navy.
- Références vérifiéeschaque catégorie de menace est mappée vers une technique MITRE ATLAS ou une catégorie OWASP GenAI. Le mapping se fait par catégorie, jamais « par système ».
Volet 1 — STRIDE classiqueCouche systèmes
Spoofing — usurpation d'identité
Descriptionl'attaquant se fait passer pour une personne ou un appareil légitime — numéro apparent, profil, voix générée ou rejouée. L'usurpation est réaliste et automatisable sur un canal vocal.
Pourquoi les grilles classiques la ratentelles traitent la fraude d'identité comme un simple risque d'authentification de plus, sans voir que sur un canal vocal un identifiant (numéro, voix) peut être produit artificiellement et ne vaut pas preuve.
La solution Banana Navyne jamais traiter un identifiant seul (numéro, voix) comme preuve d'identité ; challenge-response ou preuve hors bande sur les actions sensibles ; politique de confiance progressive selon le risque de l'action. Contrôle : aucune action sensible validée sur l'identifiant seul. Preuve attendue : traçage qu'une usurpation du numéro ou d'une voix clone ne suffit plus à déclencher une action critique.
Référence : AML.T0043 — Craft Adversarial Data ✓ dans ATLAS 2026.07.
Tampering — entrée, contexte, historique
Descriptionl'appelant ou un canal tierce modifie l'entrée, le contexte de la conversation ou l'historique pour faire agir le système autrement que prévu.
Pourquoi les grilles classiques la ratentelles ciblent l'intégrité des données au repos, pas l'intégrité d'une conversation — une entrée « ouverte » n'est pas un champ de formulaire à valider.
La solution Banana Navyvalidation déterministe des entrées qui atteignent un workflow critique ; test de portée sur chaque manipulation (« cette modification peut-elle réellement changer une décision ? »). Preuve attendue : démontrer qu'une entrée manipulée n'atteint pas le chemin décisionnel critique.
Référence : AML.T0092 — Manipulate User LLM Chat History ✓.
Repudiation — dénégation, traçabilité
Descriptionl'utilisateur (ou le système) nie ce qui a été dit ou fait ; les preuves ne sont pas robustes.
Pourquoi les grilles classiques la ratentla repudiation est souvent réduite à une case « logs », sans exigence de non-malléabilité — un log éditable ne prouve rien.
La solution Banana Navyjournalisation tamper-evident (provenance tracée, horodatage vérifiable), conservation conforme, capacité à reconstituer une décision contestée. Preuve attendue : un observateur peut vérifier qu'un événement n'a pas été modifié après coup.
Référence : pas de technique ATLAS dédiée — contrôle de processus, pas de catégorie d'attaque autonome.
Information disclosure — fuite de données
Descriptionl'attaquant soutire des données à un autre utilisateur ou à la mémoire du système — sans forcément « cracker » quoi que ce soit.
Pourquoi les grilles classiques la ratentla frontière n'est plus réseau / stockage mais session et raisonnement : la « mémoire » du système (RAG, historique, contexte) peut fuir entre utilisateurs.
La solution Banana Navyisolation des appels et de la base de connaissances (RAG), moindre accès, jamais d'accès croisé entre sessions ; cloisonnement des sources par demandeur. Preuve attendue : prouver qu'une session ne peut pas lire la mémoire d'une autre.
Référence : AML.T0085 — Data from AI Services ✓ · OWASP GenAI LLM02:2025 Sensitive Information Disclosure.
Denial of service — saturation
Descriptionl'attaquant sature le service — appels, média, capacité du modèle — pour le rendre indisponible.
Pourquoi les grilles classiques la ratentle DoS applicatif classique s'attaque à l'infrastructure ; ici la capacité de calcul du modèle et les canaux vocaux sont eux-mêmes la ressource saturable, et une conversation coûte plus cher qu'une requête web.
La solution Banana Navyrate limiting, quotas par source et par durée, fallback dégradé, capacité dimensionnée, supervision des coûts de calcul. Preuve attendue : le service tient sous charge hostile (test de saturation) ou dégrade proprement.
Référence : AML.T0029 — Denial of AI Service ✓ · OWASP GenAI LLM10:2025 Unbounded Consumption.
Elevation of privilege — élévation de privilège
Descriptionl'attaquant obtient des droits qu'il n'a pas — souvent en les demandant, et en étant servi.
Pourquoi les grilles classiques la ratentl'élévation n'est pas un bug d'ACL mais une propriété du dialogue avec un modèle trop complaisant : « je suis l'admin » ne crée aucune permission si le backend refuse.
La solution Banana Navypermissions imposées par le backend hors du modèle — aucun rôle que le LLM puisse octroyer ; revue de chaque outil d'escalade. Preuve attendue : démontrer que l'octroi de droits passe par une autorisation déterministe indépendante de la parole du modèle.
Référence : AML.T0051 — LLM Prompt Injection ✓ (voie d'élévation par injection).
Volet 2 — Extension IACouche modèle
Prompt injection directe
Descriptionun utilisateur force le modèle à ignorer ses instructions en le lui demandant directement dans la conversation.
Pourquoi les grilles classiques la ratentelles ne modélisent pas une entrée « conversation » dont le contenu a autorité sur le comportement du moteur de traitement.
La solution Banana Navycloisonner les instructions (séparation système / utilisateur), et surtout tester si l'injection atteint réellement un workflow critique — si la sortie toxique est bloquée en aval, la menace est contrainte. Preuve attendue : trajectoire d'une injection jusqu'à un effet sur le chemin décisionnel.
Référence : AML.T0051.000 — Direct ✓ · OWASP GenAI LLM01:2025 Prompt Injection.
Prompt injection indirecte
Descriptiondu contenu injecté par un canal secondaire (document rapatrié, mémoire, historique, transcription) pilote le modèle à l'insu de l'utilisateur.
Pourquoi les grilles classiques la ratentle contenu « non exécutable » (texte, transcription) n'est pas vu comme une charge utile ; la chaîne document → contexte → décision échappe aux contrôles d'entrée classiques.
La solution Banana Navybase de connaissances et sources approuvées, contrôlées, aucun contenu persistant injectable, et filtrage du canal audio / vocal avant transcription — le vecteur reste ouvert tant que la transcription n'est pas filtrée. Preuve attendue : une injection par canal secondaire n'atteint pas le chemin décisionnel.
Référence : AML.T0051.001 — Indirect ✓ · OWASP GenAI LLM01:2025 Prompt Injection.
Jailbreak — bypass des garde-fous
Descriptioncontournement des garde-fous par formulations adverses (rôles, négociation, encodages).
Pourquoi les grilles classiques la ratentc'est une attaque sur la politique du modèle, pas sur un composant ; elle est fréquente et difficile à éradiquer par simple renforcement d'instructions.
La solution Banana Navydistinguer « compromission du LLM » de « compromission du système » — accepter qu'un jailbreak produise du texte hors politique, mais garantir que des contrôles externes bornent les conséquences (actions, données, décisions critiques hors de la génération libre). Preuve attendue : démontrer qu'un jailbreak réussi ne débouche sur aucune action critique non soumise aux contrôles.
Référence : AML.T0054 — LLM Jailbreak ✓.
Hallucination — décision non sûre
Descriptionle modèle produit une réponse plausible mais fausse — avec un impact potentiellement critique si elle pilote une action.
Pourquoi les grilles classiques la ratentelles n'ont pas de notion de « sortie probabiliste » ; pour elles une sortie est vraie ou fausse, pas « plausible mais non garantie ».
La solution Banana Navyinstructions vitales déterministes hors du modèle ; le chemin critique (décisions à fort impact) reste hors de la génération libre ; garde-fous de plausibilité et de confirmation. Preuve attendue : montrer que les sorties à fort impact passent par une logique déterministe indépendante du modèle.
Référence : AML.T0060 — Publish Hallucinated Entities ✓ · OWASP GenAI LLM09:2025 Misinformation.
Data poisoning — empoisonnement des données
Descriptiondu contenu non fiable contamine durablement la base de connaissances, influençant toutes les réponses futures.
Pourquoi les grilles classiques la ratentla « base de données » ici est une connaissance qui s'exprime dans les réponses ; l'empoisonnement est lent, diffus et ne ressemble pas à une injection SQL.
La solution Banana Navyseule une ingestion approuvée écrit dans la base ; aucune parole d'appelant réinjectée telle quelle ; SBOM et digest des artefacts modèles — une dépendance compromise est une porte d'entrée. Preuve attendue : tracer qu'aucun contenu non approuvé ne peut entrer dans la base de connaissances, et que les artefacts modèles sont vérifiés par digest.
Référence : AML.T0070 — RAG Poisoning ✓ · OWASP GenAI LLM04:2025 Data and Model Poisoning.
Abus d'outil — d'agent
Descriptionle modèle déclenche une action externe non autorisée — en la demandant à travers un outil (envoi, transfert, écriture, escalade).
Pourquoi les grilles classiques la ratentle risque n'est pas ce qu'on dit au système mais ce qu'on lui donne les moyens de faire ; un « agent » ne rentre dans aucune catégorie classique d'exposition.
La solution Banana Navyautorisation déterministe backend par outil (allowlist, validation indépendante du modèle) ; révision individuelle de chaque outil d'écriture et d'escalade. Preuve attendue : démontrer qu'une demande articulée au modèle ne produit une action que si un backend déterministe l'autorise — écriture et escalade testées individuellement.
Référence : AML.T0053 — AI Agent Tool Invocation ✓ · OWASP GenAI LLM06:2025 Excessive Agency.