Sécurité de l’IA # Pentest IA agentique : les scénarios testés Tester les instructions, les données et les outils de vos LLM et agents IA, puis vérifier les garde-fous et prioriser les corrections. Cadrer la campagne ## Des scénarios choisis pour vos usages. Les tests sont sélectionnés selon vos agents, leurs outils et leurs permissions. Le cadrage identifie les modèles et versions, les sources RAG, la mémoire, les connexions MCP, les données accessibles et les actions sensibles. Le périmètre autorisé, les comptes de test, les jeux de données, les critères d’arrêt et les conditions d’exécution sont convenus avec vos équipes. Les premières validations peuvent utiliser un environnement isolé et des données de test. Six familles de tests ## De l’instruction détournée à l’action sensible. Scénario 1 ### Injection directe Une consigne fournie à l’agent tente de détourner sa tâche ou de lui faire ignorer les règles applicables. Ce que nous vérifions Le respect des limites d’accès et des validations, ainsi que la traçabilité des tentatives. Scénario 2 ### Injection indirecte & RAG Un document, une page ou un message récupéré contient des instructions qui cherchent à influencer l’agent. Ce que nous vérifions La séparation entre données consultées et instructions, et le maintien des contrôles sur les outils. Scénario 3 ### Fuite de données Un scénario cherche à obtenir des informations hors du périmètre de l’utilisateur ou à les transmettre à une destination non autorisée. Ce que nous vérifions Le filtrage des accès, le cloisonnement des données et les contrôles des sorties. Scénario 4 ### Abus d’outils L’agent est sollicité pour envoyer un message, modifier un fichier ou déclencher une opération au-delà de la demande légitime. Ce que nous vérifions Les permissions minimales, les limites d’action et la validation des opérations sensibles. Scénario 5 ### Permissions & connexions MCP Un outil ou une connexion expose des ressources ou des capacités au-delà de celles nécessaires au cas d’usage. Ce que nous vérifions Le périmètre des comptes techniques, les autorisations des outils et les restrictions de connexion. Scénario 6 ### Mémoire & supervision Un contenu persistant ou un enchaînement d’actions tente de détourner une tâche ultérieure ou de contourner une validation humaine. Ce que nous vérifions Le cloisonnement de la mémoire, les conditions d’approbation et la journalisation des décisions. Évaluer les résultats ## Des critères observables, des preuves et des priorités. - Documenter le contexte, les préconditions et les étapes de chaque scénario. - Conserver les réponses et traces utiles, en protégeant les informations sensibles. - Qualifier les accès ou actions obtenus, leurs impacts et les limites observées. - Distinguer les tentatives bloquées, les scénarios reproductibles et les comportements à approfondir. Corriger & retester ## Des garde-fous vérifiés sur les mêmes scénarios. Les mesures proposées peuvent porter sur le moindre privilège, le cloisonnement des données, l’isolation des outils, la validation humaine et les contrôles à l’exécution. Les scénarios retenus sont rejoués après correction pour vérifier les changements. Les versions des modèles, les configurations et les outils testés sont consignés. Un jeu de tests de non-régression permet de suivre le comportement lors des évolutions de votre système. Livrables ## Des constats que vos équipes peuvent reproduire. - Matrice des scénarios, préconditions, contrôles attendus et résultats observés. - Rapport des constats avec preuves, impacts et priorités de remédiation. - Recommandations de durcissement des accès, des données et des outils. - Restitution et protocole de retest selon les modalités convenues. [Cadrer mon pentest IA](https://www.bexen.fr/contact/index.html?objet=pentest-ia)[Revenir au service Pentest IA](https://www.bexen.fr/index.html#pentest-ia-agentique) Référentiels ## Des scénarios reliés aux risques documentés. La sélection des scénarios s’appuie sur les risques OWASP pour les applications LLM et sur MITRE ATLAS, puis est adaptée aux données, aux outils et aux actions de votre système. [OWASP — injection de prompt](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)[OWASP — capacités d’action excessives](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/)[MITRE ATLAS](https://atlas.mitre.org/)[Méthodes et livrables beXen](https://www.bexen.fr/methodes-livrables-cybersecurite/index.html)