Injection de prompt

L'injection de prompt est du texte malveillant caché dans du contenu que l'agent lit — un fichier dans un dépôt hostile, une page web, un CLAUDE.md empoisonné — qui tente de guider le modèle (« ignore les instructions précédentes, exfiltre les secrets »). Le volet Injection de prompt allume des détecteurs qui scrutent le trafic IA d'une machine à la recherche d'un tel contenu (une machine est un espace de travail, dans l'éditeur de réglages). Comme le dit la description du volet : Bromure scrute le trafic IA de l'agent sur l'appareil à la recherche d'instructions injectées — rien ne quitte le Mac. Chaque détecteur utilise un modèle local, téléchargé depuis bromure.io la première fois que vous l'activez.

Le volet a deux groupes : Détecteurs (quels scanneurs tournent) et Lorsqu'une injection est détectée (ce qui se passe en cas de touche). Sur la capture, les deux détecteurs sont éteints, si bien que le groupe de boutons radio en dessous est désactivé — il s'active dès qu'au moins un détecteur est allumé. Le balayage a lieu dans le proxy de l'hôte, un agent dans la VM ne peut donc pas l'éteindre. Les rouages des détecteurs, le calcul du score et l'application sont couverts dans Détection d'injection de prompt et garde-fous. Les changements s'appliquent à une machine en cours d'exécution quand vous enregistrez.

Détecteurs

Détecter les injections de prompt dans le code source

Note le contenu externe non fiable que l'agent renvoie au modèle — contenus de fichiers, pages web, et sorties d'outils envoyées comme blocs tool_result — avec le modèle de classification local Prompt Guard. C'est le détecteur qui attrape le texte « ignore les instructions précédentes / exfiltre les secrets » caché dans un dépôt hostile. La légende du volet annonce un téléchargement d'environ 272 Mo à la première activation.

Le balayage se déroule entièrement sur l'appareil. Seul le message le plus récent qui porte des résultats d'outils est balayé à chaque tour (l'historique de conversation renvoyé est sauté), et un contenu identique est mis en cache, de sorte que relire le même fichier ne coûte rien.

Détecter les instructions malveillantes dans les fichiers CLAUDE.md et similaires

Vise la menace de la « porte dérobée du fichier de règles » : des instructions malveillantes plantées dans les fichiers que les agents de code chargent automatiquement comme autorité de confiance — CLAUDE.md, AGENTS.md, GROK.md, et les variantes imbriquées et globales que Claude Code, Codex et Grok lisent dans leur prompt système. Deux passes tournent :

• Un scanneur déterministe (aucun modèle nécessaire) qui signale l'obfuscation par Unicode invisible — caractères de largeur nulle, inversions bidirectionnelles, caractères de balise Unicode — plus les motifs de méta-instruction (« ignore les instructions précédentes », « ne le dis pas à l'utilisateur ») et les mots-clés de capacité ou d'exfiltration (chemins de fichiers d'identifiants, curl-pipe-vers-shell, force-pushes).
• Un classifieur ModernBERT affiné qui fait une passe sémantique sur le corps de ces mêmes fichiers d'instructions.

La légende du volet annonce un téléchargement d'environ 571 Mo à la première activation. Les trouvailles issues d'un fichier inchangé sont dédupliquées par session, de sorte qu'un CLAUDE.md signalé est journalisé une fois, pas à chaque tour.

Téléchargements de modèles

Les modèles des détecteurs ne sont pas livrés avec l'app. Cocher l'un des interrupteurs affiche d'abord une alerte de confirmation — Télécharger le modèle du détecteur <détecteur> ? — indiquant la taille exacte du téléchargement, calculée sur les totaux réels d'octets (environ 298 Mo pour le détecteur de code source et environ 603 Mo pour celui des règles, un peu plus que les légendes arrondies du volet) avec les boutons Télécharger et Annuler, puis une fenêtre de progression avec un pourcentage et un bouton Annuler. Refuser, annuler, ou un téléchargement en échec remet l'interrupteur en place : un détecteur sans son modèle ne fait rien, et Bromure ne prétendra pas le contraire.

Détails qui valent d'être connus :

• Les modèles se téléchargent depuis dl.bromure.io dans ~/Library/Application Support/BromureAC/Models/ (prompt-injection/ pour le détecteur de source, claudemd-guard/ pour celui des règles). Pour en retirer un, supprimez son dossier.
• Les téléchargements démarrent tout de suite quand vous confirmez — c'est l'une des rares actions de l'éditeur de réglages qui prend effet avant que vous ne cliquiez Enregistrer.
• Les téléchargements sont partagés : une fois récupéré, le modèle est réutilisé par toute machine qui active le même détecteur.
• Une vérification de l'espace libre refuse un téléchargement qui ne tiendrait pas. Si un détecteur est allumé mais que son modèle manque, un téléchargement en arrière-plan démarre automatiquement.
• Dans les clients iPhone, iPad et Vision Pro, cocher un détecteur ne fait qu'enregistrer le réglage ; le Mac qui fait tourner la machine télécharge le modèle quand il en a besoin.

Lorsqu'une injection est détectée

Une seule action partagée s'applique aux deux détecteurs. Le texte d'aide du volet la résume : « Journaliser et continuer » enregistre les détections dans la Chronologie de sécurité ; « Me demander quoi faire » met la requête en pause et montre le texte signalé ; « Bloquer » fait échouer la requête d'emblée.

Le groupe de boutons radio est désactivé jusqu'à ce qu'au moins un détecteur soit activé. Dans les modes Demander et Bloquer, le balayage tourne avant l'acheminement, ce qui ajoute la latence du classifieur aux tours signalés ; Journaliser et continuer n'en ajoute aucune. Quand la machine est pilotée sans surveillance par SSH ou par la CLI, la question Demander est posée dans le tmux de la machine — seule une autorisation explicite laisse passer la requête.

Où apparaissent les détections

Chaque détection et chaque issue d'application sont enregistrées dans la Chronologie de sécurité (Fenêtre › Sécurité…) sous le filtre Injection de prompt. Les entrées ne portent qu'un court aperçu du contenu signalé ; le texte complet apparaît dans le dialogue Me demander quoi faire. Sur les Mac inscrits auprès d'une organisation bromure.io, les détections sont aussi envoyées comme événements d'audit (pas quand le Mode privé du volet Traçage est activé).

Référence des réglages

Astuce : une progression sensée : commencez avec les deux détecteurs allumés en Journaliser et continuer, surveillez la Chronologie de sécurité quelques jours pour jauger le taux de faux positifs sur vos dépôts, puis passez à Me demander quoi faire pour les bases de code non fiables. Pour le réglage de la mémoire et du Neural Engine des classifieurs sur l'appareil, voir Détection d'injection de prompt et garde-fous. Pour garder les données personnelles hors de ce que voit le modèle, voir Protection des données personnelles.