# Sécurité IA : tests d'intrusion et red teaming pour systèmes IA et LLM > Sécurité IA pour systèmes LLM, RAG et agents : tests d'intrusion et red teaming selon l'OWASP Top 10 for LLM, MITRE ATLAS et l'art. 15 RIA. Sur projet. - Source: https://www.sidd.swiss/fr/services/securite-ia - Langue: fr-CH - Mise à jour: 2026-10-20 - Éditeur: SIDD Institut pour la protection des données et la sécurité des données, une marque de Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Suisse OWASP LLM Top 10 · MITRE ATLAS · art. 15 AI Act Nous testons vos fonctionnalités d'IA comme un attaquant les attaquerait : injection de prompt, exfiltration de données, RAG manipulé et agents détournés. Vous recevez des chemins d'attaque documentés de manière traçable, des recommandations de remédiation et des preuves auditables destinées à vos clients, à vos auditeurs et en vue des futures exigences de l'art. 15 AI Act. Sur projet · prix fixe selon le périmètre OWASP Top 10 for LLM Applications Premiers résultats généralement en 1–2 semaines Gratuit et sans engagement · 30 minutes · confidentiel sous NDA · aucune installation d'outils nécessaire **Direction technique de ce mandat** **Oliver Stutz** Co-Founder · InfoSec & Cybersecurity Expert · Bachelor of IT (Bond University) L'équipe dirigée par Oliver Stutz réalise les tests techniques de vos systèmes d'IA selon OWASP, MITRE ATLAS et NIST AI RMF. Oliver Stutz est responsable du centre de développement SIDD pour la sécurité technique de l'information, la sécurité du cloud et l'intégration de l'IA générative. La qualification juridique au regard du règlement IA et de la LPD est assurée par l'équipe de Dr Dominic Staiger (CIPP/E, Attorney at Law). On obtient ainsi des constats à la fois techniquement solides et défendables devant l'autorité de surveillance, les clients et le conseil d'administration. [Profil LinkedIn](https://www.linkedin.com/in/oliverstutz/) ## Qu'est-ce que l'AI Security ? > **Définition succincte** > > L'AI Security est le test technique de sécurité des systèmes d'IA, LLM, RAG et agentiques. Chez nous, AI Security, test de sécurité de l'IA, test d'intrusion LLM et AI red teaming désignent la même prestation. Contrairement au test d'intrusion classique, qui examine des applications et infrastructures déterministes, l'AI Security s'attaque aux surfaces d'attaque spécifiques des systèmes de traitement du langage et semi-autonomes : injection de prompt, divulgation d'informations sensibles, traitement non sécurisé des sorties, autonomie d'action excessive des agents ainsi que l'empoisonnement des données d'entraînement et de récupération. Les tests sont menés selon des cadres reconnus : l'OWASP Top 10 for LLM Applications (2025), MITRE ATLAS et le NIST AI Risk Management Framework. Un système d'IA ne se comporte pas de manière déterministe. Une même entrée peut produire des sorties différentes, et les attaques se cachent dans un texte d'apparence anodine, par exemple dans un document que votre système de récupération ingère ou dans une page web que votre agent consulte (injection de prompt indirecte). Un test ponctuel ne fournit donc qu'un instantané. Nous travaillons avec des campagnes semi-automatisées et reproductibles qui parcourent systématiquement les chemins d'attaque typiques et les documentent de manière traçable, comme base pour la remédiation, le re-test et la preuve vis-à-vis de tiers. ## Avez-vous besoin d'un examen de sécurité de l'IA ? La sécurité de l'IA devient pertinente dès qu'un système d'IA a un effet vers l'extérieur ou obtient accès à des données et des fonctions sensibles. Les quatre déclencheurs suivants sont les plus fréquents en pratique ; si l'un d'entre eux vous concerne, un premier entretien est utile. 1. **Mise en production d'une fonction d'IA :** Vous mettez en production un chatbot destiné aux clients, une recherche RAG ou un agent, et vous devez savoir avant le lancement s'il peut être manipulé ou détourné à des fins d'exfiltration de données. 2. **Exigence d'un auditeur ou d'un client :** Un client de l'UE, un questionnaire d'achat ou un audit ISO 27001 exige la preuve que vos systèmes d'IA ont été testés et sécurisés. 3. **Classification à haut risque au titre de l'AI Act :** Si votre système relève des [catégories à haut risque](https://www.sidd.swiss/fr/perspectives/systemes-dia-a-haut-risque-comment-savoir-si-vous-etes-concerne/) (art. 6 et suivants, annexe III), l'art. 15 du règlement IA (RIA) exigera à l'avenir des preuves d'exactitude, de robustesse et de cybersécurité, y compris une protection contre, entre autres, l'empoisonnement des données, l'empoisonnement des modèles et les exemples adverses (art. 15, par. 5). En vertu du règlement (UE) 2026/1744 (« Digital Omnibus »), en vigueur depuis le 27.07.2026, ces obligations s'appliquent à partir du 02.12.2027 (annexe III) et à partir du 02.08.2028 (annexe I). 4. **Incident ou quasi-incident :** Un testeur, un client ou un chercheur a signalé une injection de prompt, une fuite de données ou un comportement d'agent dévoyé, et le conseil d'administration veut en comprendre l'ampleur. Ce qui nous rend uniques ## Droit, ingénierie logicielle et développement d'IA en interne, au sein d'une même équipe Chez nous, ces trois disciplines s'imbriquent au sein d'une même équipe. **Ni un cabinet d'avocats au sens strict ni un cabinet de conseil classique ne peut offrir cette combinaison.** Voici comment nous examinons vos systèmes d'IA avec le savoir-faire de ceux qui conçoivent eux-mêmes de l'IA, tout en situant chaque constat sur le plan juridique. ### Une expertise juridique approfondie Des juristes titulaires d'un doctorat et des qualifications CIPP/E, Attorney at Law (NY) et Solicitor (R.-U.). Nous classifions l'IA en toute sécurité juridique selon l'AI Act, la LPD et le RGPD, sur la base de mandats en cours plutôt que de manuels. ### Nos propres ingénieurs logiciels Notre propre centre de développement et la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). Nous savons comment les systèmes d'IA sont construits aujourd'hui et nous vérifions ce qu'un système fait réellement sur le plan technique, plutôt que de nous fier à des déclarations sur l'honneur. ### Développement d'IA en interne Nous développons et exploitons nos propres systèmes LLM et IA. Nous connaissons ainsi de première main les bonnes pratiques et les écueils, du RAG à la sécurité des prompts. ## De quoi nous chargeons-nous ? Nous examinons votre système d'IA sur l'ensemble de la surface d'attaque, du modèle aux couches d'entrée et de sortie, jusqu'aux outils, aux sources de données et à la chaîne d'approvisionnement. Le périmètre est défini par écrit avant le début et adapté à votre système. - **Modélisation des menaces (threat modelling)** pour les architectures LLM, RAG et agentiques : inventaire des modèles, des outils, des jeux de données, des identités et des frontières de confiance. - **Tests d'injection de prompt**, directe (jailbreaks) et indirecte via des contenus manipulés dans les sources RAG, les documents et les pages web récupérées (OWASP LLM01). - **Examen de la divulgation d'informations sensibles** et de la fuite de prompt système (OWASP LLM02, LLM07). - **Traitement non sécurisé des sorties :** Tests de XSS, SSRF et d'exécution de code via des sorties de modèle non filtrées (OWASP LLM05). - **Pouvoir d'action excessif des agents (excessive agency) :** Examen des agents et des appels d'outils dotés de droits d'écriture, de transaction ou système, à la recherche d'abus et de l'absence de limites (OWASP LLM06 ; OWASP Agentic Security Initiative). - **Sécurité du RAG et des bases de données vectorielles :** Empoisonnement de la base de connaissances (data store poisoning), fuites de données entre locataires (cross-tenant leaks) et faiblesses des embeddings (OWASP LLM04, LLM08). - **Chaîne d'approvisionnement des modèles et MLOps :** Évaluation de la provenance des modèles, du contrôle de version, de la validation des mises à jour et des SBOM pour les composants d'IA (OWASP LLM03). - **Consommation incontrôlée de ressources et de coûts (unbounded consumption / « denial of wallet ») :** Tests de consommation illimitée (OWASP LLM10). - **Alignement sur les référentiels :** Mise en correspondance des constats avec NIST AI RMF, MITRE ATLAS et les contrôles de sécurité de la norme ISO/IEC 42001:2023. - **Documentation probante :** constats documentés de manière traçable, avec niveau de gravité, recommandation de correction et preuve, au regard de l'art. 15 de l'AI Act et de la [norme ISO 27001 Annexe A](https://www.sidd.swiss/fr/services/iso-27001-smsi); sur demande, nouveau test après correction. ## Charge de travail et profondeur de l'examen La charge de travail dépend de l'architecture et de la surface d'attaque ; une simple application de chat LLM est examinée plus rapidement qu'un système agentique doté de plusieurs outils, de sources de données externes et de droits de transaction. Nous définissons le périmètre au préalable et établissons un devis sur la base du projet. Comme les systèmes d'IA sont probabilistes, nous recommandons des campagnes répétées plutôt qu'un test unique. - **10** Catégories de risques : parcours complet de l'OWASP Top 10 for LLM Applications (2025). - **MITRE ATLAS** Couverture des tactiques et techniques pertinentes pour votre architecture, selon le périmètre. - **2 nouveaux tests** généralement inclus, afin de démontrer l'efficacité de la correction. ## Forfaits de prestations Nous travaillons par projet. Au lieu de forfaits mensuels, vous choisissez une profondeur d'analyse adaptée à votre architecture et à vos besoins en matière de preuve. Tous les prix sont indicatifs ; l'offre à prix fixe contraignante suit après le cadrage. ### LLM Application Test CHF 8'000–15'000 Valeur indicative · 1 application Évaluation de sécurité ciblée d'une seule application LLM ou chatbot. - Modélisation des menaces de l'application - Injection de prompt (directe/indirecte) et tests de jailbreak - Tests de divulgation d'informations sensibles et de fuite du prompt système - Traitement non sécurisé des sorties - Rapport de constatations avec niveau de gravité et recommandations de correction, un nouveau test ### RAG & Agent Security CHF 15'000–30'000 recommandé · systèmes en production Évaluation plus approfondie pour les systèmes avec recherche documentaire, sources de données et accès aux outils. - Tout ce qui est inclus dans le LLM Application Test - Sécurité RAG/base de données vectorielle, empoisonnement du magasin de données, fuites inter-locataires - Autonomie excessive (Excessive Agency) et utilisation abusive des droits d'outils/de transaction - Chaîne d'approvisionnement du modèle et MLOps (provenance, mises à jour, SBOM) - Mise en correspondance avec NIST AI RMF, MITRE ATLAS et les contrôles ISO/IEC 42001 ### Programme d'AI Red Teaming dès CHF 30 000 campagnes récurrentes Campagnes de tests adverses continues pour les systèmes à haut risque ou en vue de la préparation aux exigences relatives au haut risque (art. 15 AI Act). - Campagnes de red team répétées et partiellement automatisées - Couverture complète OWASP LLM et agentique sur plusieurs cycles - Dossier de preuves orienté vers l'art. 15 AI Act et l'Annexe A d'ISO 27001 - Intégration dans votre SMSI / votre gouvernance ISO 42001 - Accompagnement du conseil d'administration et de la surveillance par l'équipe de Dr Staiger Vous ne savez pas quelle profondeur d'analyse convient ? [Convenir d'un premier entretien](https://www.sidd.swiss/fr/contact), nous délimitons le périmètre ensemble. ## Notre démarche Le processus est conçu pour la reproductibilité et la défendabilité ; chaque phase fournit des preuves documentées. ### Cadrage et classification Nous clarifions l'architecture, les données, les outils et le rôle juridique (fournisseur ou déployeur, [classe de risque selon l'AI Act](https://www.sidd.swiss/fr/services/audit-gouvernance-ia)) et définissons par écrit le périmètre de l'évaluation. ### Modélisation des menaces Nous cartographions les surfaces d'attaque, les frontières de confiance et les chemins critiques selon le OWASP LLM Top 10 et MITRE ATLAS. ### Test actif Attaques semi-automatisées et manuelles, injection de prompt, exfiltration de données, traitement des sorties, abus des agents/RAG. ### Analyse et rapport Chaque constat est assorti d'un niveau de gravité, des étapes de reproduction et d'une recommandation concrète de correction; mise en correspondance avec l'AI Act, ISO 42001 et ISO 27001. ### Accompagnement de la correction et nouveau test Nous vérifions les mesures mises en œuvre et documentons leur efficacité. ### Preuve et répétition Vous recevez un dossier de preuves destiné aux auditeurs et aux clients; pour les systèmes probabilistes, nous recommandons des campagnes récurrentes. ## Pourquoi SIDD Ce que les trois disciplines ci-dessus signifient pour la sécurité de vos systèmes d'IA : ### Nous savons comment les LLM cèdent Parce que nous construisons nous-mêmes des systèmes LLM et IA, nous connaissons les vulnérabilités issues du développement, et pas seulement des listes de contrôle, de l'injection de prompt aux agents non sécurisés. ### Cadres d'évaluation reconnus OWASP Top 10 for LLM Applications, MITRE ATLAS et NIST AI RMF, mis en correspondance avec ISO/IEC 42001 et [norme ISO 27001 Annexe A](https://www.sidd.swiss/fr/services/iso-27001-smsi). ### Constat plus qualification juridique Chaque constat technique fait simultanément l'objet d'une qualification juridique (art. 15 AI Act), de sorte que les résultats résistent face aux clients, aux auditeurs et au conseil d'administration. ### Confidentiel, données en Suisse NDA et obligation de confidentialité ; les constats et les données restent en Suisse. Lorsque l'équipe de Dr Staiger fournit un conseil juridique dans le cadre de son mandat, le secret professionnel de l'avocat (art. 321 CP) s'applique en outre. ### Conseil et contrôle séparés Nous séparons strictement le conseil et l'évaluation, ce qui rend nos constats crédibles auprès des auditeurs. ### Des preuves plutôt que des diapositives Inventaire IA, risques et constats vérifiables sur la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme), sur demande avec un nouveau test après correction. ## Comparaison entre test d'intrusion classique et AI Security Les deux évaluations ont leur place. Un fournisseur de LLM cloud existant sécurise son modèle, et non votre application qui l'entoure. Le tableau suivant montre pourquoi un test d'intrusion classique ne couvre pas les risques propres à l'IA. | Aspect | Test d'intrusion classique | AI Security / test d'intrusion LLM | | --- | --- | --- | | Objet de l'évaluation | Web, réseau, API, infrastructure | LLM, RAG, agents, chaîne d'approvisionnement du modèle | | Comportement du système | Déterministe | Probabiliste / stochastique | | Attaques de référence | OWASP Top 10 (Web) | Injection de prompt, poisoning, excessive agency | | Cadre de référence | OWASP, PTES, OSSTMM | OWASP LLM Top 10, MITRE ATLAS, NIST AI RMF | | Attaques indirectes | Rarement pertinent | Central (injection de prompt via RAG/web) | | Rythme des tests | Reproductible ponctuellement | Campagnes répétées recommandées | | Lien avec la conformité | norme ISO 27001 Annexe A | ISO 27001 Annexe A, art. 15 AI Act, ISO 42001 | Le test d'intrusion classique et la sécurité de l'IA se complètent ; nous réalisons également le [test d'intrusion classique](https://www.sidd.swiss/fr/services/test-intrusion) ainsi que l'[Analyse de vulnérabilités](https://www.sidd.swiss/fr/services/analyse-vulnerabilites) nous les réalisons également. ## Références Groupe industriel réglementé ### Assistant RAG pour la documentation interne Avant le déploiement interne d'un assistant de connaissances basé sur RAG, nous avons testé le système contre l'injection de prompt indirecte et l'accès aux données entre locataires. Trois chemins critiques menant à la divulgation de documents non validés ont été fermés avant la mise en production et confirmés lors du nouveau test. (Anonymisé, industrie réglementée.) Fournisseur SaaS dans le domaine de la santé ### Agent IA orienté client Pour un fournisseur disposant d'un agent orienté client utilisant des outils, nous avons élaboré un modèle de menaces et un dossier de preuves rendant les aspects de robustesse et de cybersécurité (au regard de l'art. 15 AI Act) démontrables auprès des clients et des auditeurs. (Anonymisé, SaaS de santé.) Notre outil : LexCommand ## Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). ### Souverain en Suisse L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons. ### Pas de citation, pas d'affirmation Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles. ### De l'effort au jugement LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur. ### Trois disciplines, une seule vue Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées. Concrètement pour l'audit AI Security : LexCommand étaye le rattachement juridique de chaque constat à l'art. 15 du règlement IA, à l'annexe A d'ISO 27001 et à l'ISO/IEC 42001 avec une source exacte dans le dossier de preuves, et retient, vu le décalage des échéances du règlement IA, la version de chaque norme en vigueur à la date de référence retenue. Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse. ## Questions fréquentes ### Combien coûte une évaluation de sécurité de l'IA ? L'évaluation est basée sur un projet. Une seule application LLM se situe généralement entre CHF 8'000–15'000, les systèmes RAG et agents entre CHF 15'000–30'000, et les programmes red-team continus à partir de CHF 30'000. Le prix fixe contraignant est établi après le cadrage. ### Une évaluation unique suffit-elle ? Pour un premier état des lieux, oui. Comme les systèmes d'IA sont probabilistes et que les modèles, prompts et sources de données évoluent, nous recommandons des campagnes répétées. Une évaluation est un instantané, pas une garantie durable. ### Notre LLM provient d'un grand fournisseur cloud, n'est-ce pas déjà sécurisé ? Le fournisseur sécurise le modèle, pas votre application. L'injection de prompt, le traitement non sécurisé des sorties, les droits d'agent excessifs et le RAG manipulé surviennent dans votre intégration, c'est précisément là qu'intervient notre évaluation. ### Combien de temps dure un projet ? Une seule application LLM est généralement évaluée et documentée en une à deux semaines. Les systèmes RAG et agents prennent plus de temps. Nous planifions le nouveau test après la correction des constats. ### Cela nous rend-il conformes à l'AI Act ? Non, une conformité garantie n'existe pas. Nous fournissons des constats techniques et des preuves qui contribuent à satisfaire les exigences (futures) de l'art. 15 AI Act (exactitude, robustesse, cybersécurité) et [norme ISO 27001 Annexe A](https://www.sidd.swiss/fr/services/iso-27001-smsi) qui rendent votre diligence démontrable. Cela ne remplace pas un conseil juridique au cas par cas. ### À partir de quand les obligations de l'AI Act s'appliquent-elles aux systèmes à haut risque ? Les interdictions (art. 5) et la maîtrise de l'IA (art. 4) s'appliquent depuis le 02.02.2025, les obligations GPAI depuis le 02.08.2025 et les obligations de transparence de l'art. 50 depuis le 02.08.2026. Les obligations relatives aux systèmes à haut risque du règlement IA (RIA) ont été reportées par le règlement (UE) 2026/1744 (« Digital Omnibus »), publié au Journal officiel de l'UE le 24.07.2026 et en vigueur depuis le 27.07.2026. Elles s'appliquent à partir du 02.12.2027 pour les systèmes de l'annexe III et à partir du 02.08.2028 pour les systèmes de l'annexe I (IA intégrée à des produits). Les exigences de l'art. 15 RIA (exactitude, robustesse, cybersécurité) suivent ce calendrier. ### Comment cela s'articule-t-il avec notre CISO ou notre DPO ? Nous travaillons en responsabilité partagée. Les constats de sécurité de l'IA s'intègrent dans un ISMS existant et dans le travail du [RSSI](https://www.sidd.swiss/fr/services/ciso-externe) et [délégué à la protection des données (DPO)](https://www.sidd.swiss/fr/services/conseiller-protection-donnees-suisse) ; l'analyse d'impact sur les droits fondamentaux (FRIA, art. 27 AI Act), dans la mesure où elle s'applique à votre système, peut être menée parallèlement à l'AIPD (art. 35 RGPD). Sur demande, nous associons l'évaluation à nos prestations [ISMS/ISO 27001](https://www.sidd.swiss/fr/services/iso-27001-smsi), [Test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) et au rôle d'[AI Officer](https://www.sidd.swiss/fr/services/ai-officer). *Cette page ne remplace pas un conseil juridique au cas par cas.* Sur cette page - Qu'est-ce que l'AI Security ? - En avez-vous besoin ? - Pourquoi seul SIDD - Services - Charge de travail et profondeur de l'analyse - Forfaits de prestations - Démarche - Pourquoi SIDD - Pentest vs sécurité de l'IA - Références - LexCommand - FAQ --- Ce document est la version Markdown de la page liée ci-dessus. Merci de citer l'URL HTML.