--- title: "OWASP LLM Top 10 (2025) expliqué : les dix risques de sécurité des applications LLM" description: "L'OWASP LLM Top 10 (2025) regroupe les dix risques de sécurité les plus graves pour les applications fondées sur de grands modèles de langage ; il est publié par l'OWASP GenAI Security Project." locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/owasp-llm-top-10-2025-explique-les-dix-risques-de-securite-des-applications-llm" category: "Agents IA" topic: "Sécurité des agents IA & OWASP" updated: "2026-10-28T13:26:37.918Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # OWASP LLM Top 10 (2025) expliqué : les dix risques de sécurité des applications LLM L'OWASP LLM Top 10 (2025) regroupe les dix risques de sécurité les plus graves pour les applications fondées sur de grands modèles de langage ; il est publié par l'OWASP GenAI Security Project. Il va de Prompt Injection à Unbounded Consumption, en passant par Sensitive Information Disclosure, et a servi de référence pour sécuriser les systèmes LLM et d'agents IA jusqu'à l'édition suivante d'août 2026. ## L’essentiel - L'OWASP LLM Top 10 (2025) a été publié par l'OWASP GenAI Security Project et a remplacé la liste de 2023 ; il s'applique à toute application d'IA générative, du chatbot à l'agent IA en passant par le RAG. L'édition 2026 a suivi en août 2026. - LLM01 Prompt Injection est le risque individuel le plus lourd de conséquences ; le premier cas réel zero-click a été EchoLeak (CVE-2025-32711, CVSS 9,3) dans Microsoft 365 Copilot, divulgué par Aim Labs en juin 2025. - Trois entrées sont nouvelles ou nettement élargies en 2025 : LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses et LLM10 Unbounded Consumption (denial-of-wallet). - LLM06 Excessive Agency est le pont conceptuel vers la sécurité des agents : il se situe directement en amont de plusieurs risques agentiques de l'OWASP Agentic Top 10 (2026). - Si tu exploites des agents IA, le LLM Top 10 ne couvre que la base. L'autonomie, l'utilisation d'outils et la mémoire persistante élargissent la surface d'attaque et exigent en plus l'OWASP Agentic Top 10 (ASI01 à ASI10). - Les garde-fous ne sont pas une panacée : EchoLeak a contourné le classificateur XPIA de Microsoft. Une protection efficace passe par une défense en couches combinant filtre d'entrée, contrôle du périmètre, filtre de sortie et surveillance comportementale. L'OWASP LLM Top 10 (2025) regroupe les dix risques de sécurité les plus graves pour les applications fondées sur de grands modèles de langage ; il est publié par l'OWASP GenAI Security Project. Il va de [Prompt](https://blckalpaca.at/fr/glossaire/prompt) Injection à Unbounded Consumption, en passant par Sensitive Information Disclosure. - **De quoi s'agit-il ?** La liste de consensus la plus utilisée sur les risques de sécurité les plus graves des [LLM](https://blckalpaca.at/fr/glossaire/llm), valable pour les chatbots, les systèmes [RAG](https://blckalpaca.at/fr/glossaire/rag), les copilotes et les agents. - **Qui est derrière ?** L'OWASP GenAI Security Project (anciennement OWASP Top 10 for LLM Applications, site du projet : genai.owasp.org). L'édition 2025 a remplacé la liste de 2023. - **Pourquoi est-ce pertinent maintenant ?** Si tu déploies des agents [IA](https://blckalpaca.at/fr/glossaire/ia), cette liste ne couvre que la base. Pour les systèmes autonomes qui utilisent des outils, l'OWASP Agentic Top 10 (ASI01 à ASI10) existe en plus depuis le 9 décembre 2025. **Mise à jour d'octobre 2026 :** L'OWASP GenAI Security Project a publié le 3 août 2026 le [LLM Top 10 2026](https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/). Selon une [analyse de la Cloud Security Alliance](https://labs.cloudsecurityalliance.org/research/csa-research-note-owasp-genai-top10-2026-agent-control-stand/), Excessive Agency y passe de la 6e à la 3e place, et la catégorie plus large Hidden Context Exposure remplace System Prompt Leakage. Cet article explique l'édition 2025. Pour les nouvelles évaluations de risques, l'édition 2026 est la référence actuelle. ## Repères : quelle liste OWASP correspond à quoi ? L'OWASP publie désormais toute une famille d'artefacts de sécurité IA qui se recoupent et que les équipes achats, audit et risques confondent régulièrement dans la pratique. Pour les décideurs B2B en Europe, la distinction est déterminante : - **OWASP Top 10 for [Large Language Model](https://blckalpaca.at/fr/glossaire/large-language-model) Applications 2025 (LLM01:2025 à LLM10:2025) :** La liste traitée ici. Elle couvre les risques au niveau du modèle et de l'application dans *toute* application GenAI ou LLM. C'est la référence que la plupart des équipes de sécurité connaissent déjà. - **OWASP Top 10 for Agentic Applications 2026 (ASI01 à ASI10) :** Publiée par le même projet le 9 décembre 2025 et développée dans le cadre de l'Agentic Security Initiative. Elle couvre les risques liés à l'autonomie, à l'intégration d'outils et à la coordination multi-agents. - **OWASP AI Exchange, AI Security and Privacy Guide, [MCP](https://blckalpaca.at/fr/glossaire/mcp) Top 10, AIVSS :** Briques complémentaires (base de connaissances, niveau protocole, système de notation) qui accompagnent les listes Top 10 sans les remplacer. Important : le LLM Top 10 s'appuie *sur* [des standards classiques de sécurité applicative comme l'OWASP ASVS](https://owasp.org/www-project-application-security-verification-standard/) et l'[API](https://blckalpaca.at/fr/glossaire/api) Security Top 10, il ne prend pas leur place. Une application LLM a toujours besoin d'authentification, de gestion de sessions, de validation des entrées et d'hygiène cryptographique. La tentation de traiter la sécurité de l'IA comme un silo à part est l'une des erreurs conceptuelles les plus fréquentes. ## Les dix risques en un coup d'œil Le tableau suivant résume les dix entrées avec une brève description et la contre-mesure principale. | Risque (2025) | Brève description | Contre-mesure | | --- | --- | --- | | **LLM01 Prompt Injection** | Injection directe et indirecte d'instructions dans l'entrée du LLM, qui écrasent le comportement prévu. Le risque individuel le plus lourd de conséquences. | Traiter les contenus externes comme non fiables, séparer le canal d'instructions du canal de données, filtres d'entrée et de sortie, contrôle d'accès fondé sur la provenance. | | **LLM02 Sensitive Information Disclosure** | Divulgation de PII, de propriété intellectuelle, de secrets d'affaires, de prompts système et d'embeddings dans les sorties du LLM ; inclut l'inversion de PII et l'extraction d'embeddings. | Nettoyage des données, filtrage des sorties, intégration DLP. | | **LLM03 Supply Chain** | Compromission de modèles de base, de poids affinés, de données d'entraînement, de registres de modèles et de dépendances. *Statique*, donc au moment du build. | Épingler les versions des dépendances, vérifier la provenance, analyser avant le déploiement, SBOM/AIBOM. | | **LLM04 Data and Model Poisoning** | Données d'entraînement, de [fine-tuning](https://blckalpaca.at/fr/glossaire/fine-tuning) ou RAG manipulées qui biaisent le modèle ou y implantent des backdoors cachées ; y compris des modèles open source piégés par une backdoor. | Vérifier la qualité et l'origine des données, évaluer la fiabilité des sources, valider avant l'[embedding](https://blckalpaca.at/fr/glossaire/embedding). | | **LLM05 Improper Output Handling** | Les systèmes en aval traitent la sortie du LLM comme une entrée de confiance ; XSS, SQLi, SSRF, injection de commandes via la sortie du modèle. | Valider et encoder strictement la sortie, ne jamais l'exécuter sans contrôle comme code/requête. | | **LLM06 Excessive Agency** | Les LLM obtiennent un pouvoir d'action incontrôlé, faute de limitation suffisante des droits ou de supervision humaine. Étendu en 2025 aux architectures d'agents. | Moindre privilège par outil, périmètres d'autorisation explicites, human-in-the-loop pour les actions critiques. | | **LLM07 System Prompt Leakage** | Des contenus du prompt système censés rester privés sont révélés par sondage (probing). | Ne stocker aucun secret dans le prompt système ; ne pas fonder la sécurité sur la confidentialité du prompt. | | **LLM08 Vector and Embedding Weaknesses** | Spécifique au RAG : injection de données malveillantes dans les bases vectorielles, empoisonnement d'embeddings, fuites d'embeddings entre locataires. Nouveau en 2025. | Contrôles d'accès aux bases vectorielles, isolation des locataires, validation du contenu avant l'embedding. | | **LLM09 Misinformation** | Contenus erronés formulés avec assurance, issus d'hallucinations ou de données d'entraînement biaisées. | Ancrage dans des sources fiables, vérification des faits, signalement de l'incertitude. | | **LLM10 Unbounded Consumption** | Épuisement des ressources et des budgets (denial-of-wallet). Étendu en 2025 à partir de l'entrée DoS de 2023. | Plafonds de coûts stricts avec disjoncteurs, limitation de débit par utilisateur/locataire/[agent](https://blckalpaca.at/fr/glossaire/agent), détection d'anomalies sur les tokens. | ## Trois entrées nouvelles ou profondément modifiées en 2025 Par rapport à la liste précédente, l'OWASP a nettement adapté l'édition 2025 aux architectures actuelles. Trois points méritent une attention particulière : - **LLM07 System Prompt Leakage** fait désormais l'objet d'une entrée à part entière, car des exploits réels ont montré que des prompts système censés être privés peuvent être extraits par un sondage ciblé. La leçon : le prompt système n'est pas un coffre-fort. Les secrets, les identifiants ou la logique de sécurité n'ont rien à y faire. - **LLM08 Vector and Embedding Weaknesses** est nouveau et tient compte de l'essor du RAG. Les données malveillantes dans les bases vectorielles, l'empoisonnement d'embeddings et les fuites d'embeddings entre locataires sont des risques réels dès que plusieurs clients partagent le même index vectoriel. - **LLM10 Unbounded Consumption** élargit l'ancien point sur le déni de service à la dimension des coûts (denial-of-wallet). Chez les agents, l'amplification est particulièrement critique, car les plans en plusieurs étapes multiplient la consommation de tokens. ## Le lien avec les agents IA : LLM06 comme pont Pour les agences et les décideurs B2B, l'enseignement conceptuel le plus important est le suivant : le LLM Top 10 a été écrit pour des systèmes qui, au fond, *répondent*. Un prompt entre, une complétion sort, éventuellement ancrée par RAG. Les [systèmes agentiques](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/ia-agentique-vs-ia-classique/quest-ce-que-lia-agentique-definition-caracteristiques-et-evolution-du-marche), eux, *planifient, raisonnent, choisissent des outils, écrivent en mémoire et agissent* avec une validation humaine minimale à chaque étape. L'OWASP le formule ainsi (en substance, Sotiropoulos et al., 9 décembre 2025) : les systèmes agentiques héritent de tous les risques des LLM et introduisent des classes de vulnérabilités entièrement nouvelles, issues de l'autonomie, de l'intégration d'outils, de la coordination multi-agents et de l'état persistant. Le pont entre ces deux mondes est [**LLM06 Excessive Agency**](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/owasp-agentic-security-asi-top-10-2026-les-risques-des-systemes-dia-agentique), explicitement élargi en 2025 aux architectures agentiques et situé directement en amont de plusieurs risques agentiques (ASI02, ASI03, ASI10). Le framework open source de red teaming DeepTeam, qui couvre les deux listes, résume l'effet d'amplification avec justesse : ASI01 (Agent Goal Hijack) correspond à LLM01 (Prompt Injection) multiplié par LLM06 (Excessive Agency), mais avec une exécution en plusieurs étapes qui étend les dégâts au-delà d'une seule réponse. Trois risques agentiques (ASI07 Insecure Inter-Agent Communication, ASI08 Cascading Failures, ASI10 Rogue Agents) n'ont aucun équivalent dans le LLM Top 10. Qui se contente de lire le LLM Top 10 sous-estime donc systématiquement le risque agentique. ## Exemple concret : EchoLeak (CVE-2025-32711) EchoLeak montre jusqu'où va [l'injection de prompt](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/injection-de-prompt-directe-vs-indirecte-la-difference-et-pourquoi-avec-les-agen) dans les systèmes en production : c'est le premier cas zero-click réellement documenté dans un système LLM en production. En juin 2025, Aim Labs a divulgué la vulnérabilité dans Microsoft 365 Copilot (CVE-2025-32711, CVSS 9,3, documentée dans arXiv 2509.10540, Reddy et al., septembre 2025). Le déroulement, en pseudo-étapes : 1. L'attaquant envoie un unique e-mail piégé à la victime. 2. Les instructions cachées contournent le classificateur XPIA de Microsoft (Cross-Prompt Injection Attempt). 3. La suppression des liens externes est contournée grâce à des liens Markdown de type référence (reference-style). 4. Des images chargées automatiquement + un proxy Microsoft Teams autorisé par la CSP exfiltrent le contenu le plus sensible du contexte de Copilot. 5. Aucun clic de l'utilisateur n'est nécessaire (zero-click). Aim Labs a forgé pour cela le terme LLM Scope Violation. Microsoft a corrigé la faille côté serveur, sans intervention des clients. La leçon centrale pour les comités des risques : même le classificateur éprouvé d'un fournisseur établi (XPIA) a été contourné. Dans le cas jumeau CamoLeak (GitHub Copilot Chat, CVSS 9,6, divulgué en octobre 2025 par Omer Mayraz/Legit Security après un signalement sur HackerOne en juin 2025), la protection CSP a été contournée via le propre proxy d'images Camo de GitHub pour siphonner, caractère par caractère, des secrets de dépôts privés ; GitHub a alors entièrement désactivé le rendu des images dans Copilot Chat le 14 août 2025. Les garde-fous ne sont donc pas une panacée. Chaque garde-fou publié jusqu'ici a été contourné par des chercheurs compétents dans les mois qui ont suivi sa sortie. Une protection efficace exige une [défense en couches](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/red-teaming-des-agents-ia-detecter-les-vulnerabilites-de-facon-systematique) : filtre côté entrée, plus contrôle du périmètre et de la provenance, plus filtre côté sortie, plus surveillance comportementale. Les affirmations de fournisseurs du type « Notre garde-fou bloque 99,x % des injections de prompt » sont à traiter comme du marketing tant qu'une red team indépendante ne les a pas vérifiées. ## Détection et défense en pratique Concrètement, la défense en profondeur signifie pour les applications LLM : - **Côté entrée :** Traiter par principe les contenus externes (documents, e-mails, corpus RAG, pages web, sorties d'outils) comme non fiables. Séparer le canal d'instructions du canal de données. Utiliser des filtres d'entrée comme Llama Guard, Microsoft Prompt Shield, NVIDIA NeMo Guardrails ou Lakera Guard (état 2026). - **À l'exécution :** Contrôle d'accès fondé sur la provenance, afin qu'un contenu marqué comme externe ne puisse déclencher aucun accès privilégié aux données. Restreindre le rendu Markdown, empêcher le chargement automatique des images. - **Côté sortie :** Vérifier la sortie par rapport aux motifs attendus et ne jamais l'exécuter sans contrôle comme code, requête de base de données ou HTML dans les systèmes en aval (LLM05). - **Exploitation :** Red teaming continu avec Garak, PyRIT ou DeepTeam. Plafonds de coûts stricts et limitation de débit contre Unbounded Consumption. Journalisation forensique complète. Une évaluation honnête impose aussi de le dire : les garde-fous génèrent de la latence (généralement 100 à 500 millisecondes par règle en production) et des coûts (chaque règle est un appel d'inférence supplémentaire). Dans les contextes multilingues de la zone DACH (Allemagne, Autriche, Suisse ; DE/FR/IT/EN mélangés), les taux de faux positifs restent élevés. ## Pour les agences et le B2B Les agences marketing et les PME mettent de plus en plus en production des copilotes basés sur des LLM, des assistants [RAG](https://docs.llamaindex.ai/) et leurs premiers agents, souvent sous forme de fonction SaaS achetée dans Microsoft 365 Copilot, ChatGPT Enterprise, Claude for Work ou Gemini for Workspace (état 2026). C'est précisément là que LLM01 (injection indirecte via des contenus), LLM02 (divulgation de données dans des résumés) et LLM06 (droits d'outils trop larges) constituent la surface d'attaque réaliste. Trois conseils pour les achats et la gouvernance : premièrement, « conforme OWASP » n'est pas une affirmation solide, puisque l'OWASP publie des lignes directrices et non des certifications. Deuxièmement, chaque garde-fou pertinent du fournisseur devrait tourner au niveau le plus strict, et les logs du fournisseur ont leur place dans un SIEM. Troisièmement : si tu prévois des agents, tu dois lire l'OWASP Agentic Top 10 en plus du LLM Top 10, sinon ton modèle de risques reste incomplet. Blck Alpaca, à Vienne, t'aide à situer ces risques dans [les contextes du règlement européen sur l'IA, du RGPD et de l'ISO 42001](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) et à [choisir les couches de protection adaptées](https://blckalpaca.at/fr/services/agent-ia-entreprise). Les listes de l'OWASP sont révisées à intervalles irréguliers ; genai.owasp.org mérite un favori dans tout processus de gestion des risques. ## Questions fréquentes ### Qu'est-ce que l'OWASP LLM Top 10 (2025) ? L'OWASP LLM Top 10 (2025) est une liste, publiée par l'OWASP GenAI Security Project, des dix risques de sécurité les plus graves pour les applications fondées sur de grands modèles de langage. Elle comprend LLM01 Prompt Injection, LLM02 Sensitive Information Disclosure, LLM03 Supply Chain, LLM04 Data and Model Poisoning, LLM05 Improper Output Handling, LLM06 Excessive Agency, LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses, LLM09 Misinformation et LLM10 Unbounded Consumption. L'édition 2025 a remplacé la liste de 2023. En août 2026, l'OWASP a publié l'édition suivante, celle de 2026. ### En quoi l'OWASP LLM Top 10 se distingue-t-il de l'OWASP Agentic Top 10 ? Le LLM Top 10 (2025) décrit les risques des systèmes qui, avant tout, répondent : un prompt entre, une complétion sort, éventuellement ancrée par RAG. L'OWASP Agentic Top 10 (2026, ASI01 à ASI10), publié le 9 décembre 2025, vise les systèmes qui planifient, choisissent des outils, écrivent en mémoire et agissent. Les agents héritent de tous les risques des LLM et y ajoutent de nouvelles classes issues de l'autonomie, de l'intégration d'outils, de la coordination multi-agents et de l'état persistant. Trois risques agentiques (ASI07, ASI08, ASI10) n'ont pas d'équivalent côté LLM. ### Quelle différence entre LLM01 Prompt Injection et un jailbreak ? L'injection de prompt signifie que des instructions glissées dans l'entrée écrasent ou détournent le comportement prévu d'un LLM. On distingue l'injection directe (dans le champ de saisie de l'utilisateur) et l'injection indirecte via des documents, un corpus RAG, des pages web, des e-mails ou des sorties d'outils. Un jailbreak en est une forme particulière, qui neutralise les garde-fous de sécurité et les règles d'utilisation du modèle. Le référentiel MITRE ATLAS les répertorie séparément : AML.T0051 (Prompt Injection) et AML.T0054 (Jailbreak). ### Une application LLM est-elle entièrement sécurisée avec l'OWASP LLM Top 10 ? Non. Le LLM Top 10 s'appuie sur des standards classiques de sécurité applicative comme l'OWASP ASVS et l'API Security Top 10, mais ne les remplace pas. Une application LLM a toujours besoin d'authentification, de gestion de sessions, de validation des entrées et d'hygiène cryptographique. Par ailleurs, « conforme OWASP » n'est pas une affirmation de certification solide : l'OWASP publie des lignes directrices, pas des certifications. Un fournisseur peut appliquer les recommandations de l'OWASP, mais il ne peut pas être certifié OWASP. ### Que signifie LLM10 Unbounded Consumption ? LLM10 Unbounded Consumption décrit les attaques visant les ressources et les coûts, souvent appelées denial-of-wallet. L'entrée a été élargie en 2025 à partir de l'ancien point consacré au déni de service dans l'édition 2023. Chez les agents, l'amplification des coûts est particulièrement grave, car les plans en plusieurs étapes multiplient la consommation de tokens. Les contre-mesures sont des plafonds de coûts stricts avec disjoncteurs (circuit breakers), une limitation de débit par utilisateur, locataire et agent, et la détection d'anomalies sur les séries temporelles de tokens. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/owasp-llm-top-10-2025-explique-les-dix-risques-de-securite-des-applications-llm). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.