Un support IA à accès limité.Un support IA qui ne voit pas tout.

1. 01Une question support peut nécessiter une commande, un statut, un contrat ou un extrait de documentation.
2. 02Le même index peut servir plusieurs clients, tenants, équipes et niveaux de confidentialité.
3. 03Les entrées utilisateur et les documents récupérés peuvent contenir des instructions malveillantes ou contradictoires.
4. 04Une réponse plausible mais non autorisée constitue un incident même si elle est factuellement exacte.

Le principal risque n’est pas seulement l’hallucination. C’est la combinaison entre une récupération trop large, une autorisation tardive et une sortie à laquelle l’application accorde trop de confiance.

• Appliquer les droits avant que les documents ne soient ajoutés au contexte.
• Résister aux injections directes et indirectes dans les messages ou documents.
• Distinguer absence d’information, absence d’autorisation et incertitude du modèle.
• Fournir une preuve utile sans exposer les métadonnées d’un autre client.

Une récupération filtrée avant génération réduit la surface de fuite tout en maintenant une réponse utile sur les demandes autorisées.

1. 01

   Question

2. 02

   Identité et portée

3. 03

   Récupération filtrée

4. 04

   Génération

5. 05

   Contrôle de sortie

6. 06

   Réponse ou escalade

Le contexte est construit à partir de l’identité, du tenant et de la ressource demandée. Le modèle reçoit uniquement les extraits autorisés nécessaires à la question.

1. 01Authentifier l’utilisateur et dériver une portée de recherche explicite.
2. 02Filtrer les ressources par tenant, client, objet et niveau de sensibilité avant le ranking.
3. 03Récupérer un contexte minimal avec références internes traçables.
4. 04Détecter les demandes d’exfiltration, de contournement ou d’action non autorisée.
5. 05Générer une réponse avec citation de la preuve disponible ou déclencher une abstention.
6. 06Escalader les questions à conséquence élevée vers un agent humain.

Le jeu de test combine questions normales, cas sans réponse, identités croisées et attaques adversariales préparées avant l’exécution.

• Matrice utilisateurs, tenants, objets et permissions avec réponses attendues.
• Questions paraphrasées pour éviter de sur-ajuster le système à une formulation.
• Prompts d’injection directs, indirects et multi-tours.
• Documents piégés demandant au modèle d’ignorer la politique ou de révéler des secrets.
• Vérification des journaux pour confirmer les documents réellement récupérés.

Ces indicateurs définissent le protocole de mesure. Ils ne constituent pas des résultats publiés tant qu’un pilote ou le client n’a pas validé les données.

Ce qui doit faire échouer ou limiter le système

• Récupération d’un document pertinent mais appartenant à un autre tenant.
• Injection indirecte contenue dans un article ou une pièce jointe.
• Réponse inventée lorsque le top-k ne contient aucune preuve suffisante.
• Escalade sans contexte utile qui oblige l’agent à recommencer la recherche.

1. 01Appliquer l’autorisation dans la couche de données et non dans le prompt.
2. 02Isoler index, caches, journaux et clés de chiffrement selon la frontière de tenant.
3. 03Valider les sorties avant affichage ou utilisation par un outil.
4. 04Tester régulièrement les nouvelles techniques d’injection et conserver les cas de régression.

1. 01La réduction du contexte est un contrôle de sécurité et de qualité.
2. 02Une réponse exacte peut rester interdite si l’utilisateur n’a pas les droits.
3. 03L’injection indirecte doit être testée dans les documents récupérés.
4. 04Les journaux de récupération sont nécessaires pour diagnostiquer une réponse.