Cet article explique pourquoi cette base est devenue une cible de choix, comment trois méthodes d'attaque parviennent à en extraire vos données, pourquoi les pare-feu classiques n'y voient rien, et où Total Adblock peut réellement intervenir. Comme dans le reste de cette série, les limites de chaque défense sont nommées franchement, sans promettre plus qu'elles ne tiennent.
La nouvelle mine d'or : votre base vectorielle
Pour donner de l'intelligence à un agent, on lui fournit une mémoire à long terme. Concrètement, cela signifie transformer vos documents en embeddings : des représentations mathématiques en haute dimension, des listes de nombres qui encodent le sens d'un texte. L'agent ne relit pas vos fichiers un par un. Il interroge cet espace vectoriel et récupère en une fraction de seconde ce qui ressemble le plus à sa requête.
C'est précisément cette efficacité qui crée le danger. La base est conçue pour être fouillée par une IA, donc facile à interroger par nature. Un attaquant n'a pas besoin de parcourir des milliers de fichiers. Il pose une question à votre agent, et celui-ci lui tend tout votre contexte métier sur un plateau. Plus la mémoire de votre IA est riche et accessible, plus elle vaut cher pour celui qui cherche à vous la voler.
Trois façons d'extraire vos données
Nul besoin d'être mathématicien pour dérober votre savoir d'entreprise. Trois approches suffisent, et chacune exploite un aspect différent du même système.
L'attaquant envoie à votre agent une série de requêtes ambiguës, soigneusement formulées. En analysant les résultats les plus proches qu'il renvoie — le fameux « top-k » —, il recompose peu à peu des fragments de vos documents privés. Il ne force aucune serrure ; il déduit le contenu à partir de ce que l'agent accepte de montrer.
L'attaquant dépose un document « empoisonné » à un endroit que votre agent va explorer. Ce document est conçu pour se placer tout près de vos informations sensibles dans l'espace vectoriel. Quand l'agent cherche ensuite ce sujet, il récupère par accident les données piégées en même temps que vos informations confidentielles.
Beaucoup d'organisations hébergent leur base vectorielle avec une authentification minimale, en supposant que des embeddings sont illisibles pour un humain. C'est une erreur. Avec des outils librement disponibles, un attaquant télécharge la base et utilise un modèle local pour « dévectoriser » les données. En quelques minutes, l'intelligence de votre entreprise redevient du texte clair.
Il ne force aucune serrure ; il déduit le contenu à partir de ce que l'agent accepte de montrer.
Pourquoi les pare-feu classiques n'y voient rien
Votre infrastructure de sécurité actuelle a été pensée pour des fichiers statiques, pas pour des représentations mathématiques du sens. Trois raisons expliquent pourquoi cette menace lui échappe.
D'abord, l'obscurité sémantique. Un pare-feu cherche du « code malveillant » ou des types de fichiers suspects. Un embedding ressemble à une liste de nombres à virgule flottante tirés au hasard. Pour un filtre de sécurité, c'est du bruit inoffensif, qu'il laisse traverser le réseau sans l'inspecter.
Ensuite, le paradoxe de la requête autorisée. Vos agents ont le droit d'interroger la base vectorielle. Chaque requête est donc techniquement légitime. Vous ne pouvez pas la bloquer sans casser le fonctionnement de l'IA. L'attaquant n'enfreint aucune règle : il exploite la conception même du système.
Enfin, l'absence de traçabilité des données. Il n'existe pas de standard pour dire « à qui appartient ce savoir » dans un espace vectoriel. Une fois un document converti en embedding, les métadonnées sur son propriétaire d'origine disparaissent souvent. Impossible, dès lors, d'auditer les accès ou de contrôler finement les permissions.
Où la défense peut réellement intervenir
Ramenez le problème à son cœur, et il reste une dépendance. L'attaque ne fonctionne que si l'on traite chaque requête comme légitime au seul motif qu'elle vient d'un agent autorisé, et si les embeddings restent exploitables une fois sortis de la base. Agissez sur ces deux points, et la faiblesse se déplace de « qui pose la question » vers « qu'est-ce que cette question cherche vraiment à faire ».
C'est à ce niveau que travaille Vector-Store Sanitization de Total Adblock. Plutôt que de surveiller le trafic réseau, cette couche observe les requêtes qui atteignent votre base vectorielle et analyse l'intention de chaque recherche. Elle contrôle ce qui se passe à partir de maintenant : elle ne récupère pas des données déjà exfiltrées lors d'un accès antérieur, et ne change rien à la façon dont une plateforme tierce fermée gère sa propre base en interne. Son rôle est de fermer la voie vers l'avant — et face à une attaque qui vit de l'interrogation répétée d'une mémoire ouverte, c'est justement la voie qui compte.
