Meta renforce la sécurité de Llama avec de nouveaux outils de défense

Les assistants fondés sur l’intelligence artificielle ne sont plus seulement des boîtes de dialogue capables de rédiger un texte. Ils peuvent analyser des documents, examiner des images, utiliser des outils externes et, dans certains cas, intervenir dans des flux de travail professionnels. Cette montée en puissance élargit aussi la surface d’attaque. Le 1er mai 2025, Meta présente donc un ensemble de protections pour son écosystème Llama, avec une idée simple : la sécurité d’une application d’IA ne peut pas reposer sur un unique filtre.

Les annonces concernent autant les développeurs qui intègrent Llama à leurs produits que les équipes de cybersécurité chargées de surveiller les systèmes informatiques. Meta met en avant des filtres de contenu, un dispositif de coordination baptisé LlamaFirewall, de nouveaux modèles Prompt Guard, des benchmarks destinés aux défenseurs et des outils de détection de l’audio généré par IA. L’entreprise évoque aussi un projet de traitement privé pour certaines fonctions d’IA dans WhatsApp.

Pourquoi les applications d’IA ont-elles besoin de nouvelles défenses ?

Un modèle de langage reçoit des instructions, produit une réponse et peut, selon le logiciel qui l’entoure, accéder à des données ou appeler des services. Chaque étape doit être protégée. Une demande apparemment anodine peut chercher à contourner les règles prévues par le concepteur, pousser le modèle à révéler une information sensible ou lui faire exécuter une action non souhaitée.

L’un des risques les plus commentés est l’injection de prompts. Il s’agit d’une instruction malveillante glissée dans un message, une page web ou un document que l’IA est amenée à lire. Son objectif peut être de remplacer les consignes légitimes du système par d’autres consignes. Par exemple, un outil chargé de résumer des documents internes pourrait rencontrer, au sein même d’un fichier, une instruction visant à détourner son comportement.

Les tentatives de jailbreak relèvent de la même famille de problèmes : elles cherchent à amener un modèle à ignorer ses garde-fous. À cela s’ajoutent les risques de génération de code dangereux, de fuite de données dans les outils de recherche documentaire et d’utilisation abusive de plug-ins, ces connecteurs qui donnent à une IA la possibilité d’interagir avec des logiciels ou des services tiers.

C’est dans cette logique de défense en profondeur que Meta inscrit ses nouveaux outils. Ils ne rendent pas les risques inexistants, mais doivent aider les organisations à les détecter, à les mesurer et à limiter leurs conséquences.

Llama Guard 4 ajoute la sécurité des images à celle du texte

La principale évolution annoncée est Llama Guard 4, une nouvelle génération de filtre de sécurité pour les modèles Llama. Sa particularité est d’être multimodale : il peut prendre en compte du texte, mais aussi des images. Cette capacité répond à la généralisation des services où un utilisateur joint une photo à une question, fait analyser une capture d’écran ou demande à un assistant de traiter des contenus visuels.

Dans une application, un tel filtre peut être placé avant le modèle principal, afin d’examiner une demande, et après celui-ci, afin d’évaluer une réponse avant son affichage. Les règles peuvent être adaptées aux politiques de modération ou de sécurité définies par l’organisation qui déploie le service. Cette adaptabilité est importante : une plateforme éducative, un service client et un outil de cybersécurité ne sont pas confrontés exactement aux mêmes situations.

Meta indique que Llama Guard 4 est intégré à la nouvelle Llama API, alors en phase de prévisualisation limitée. Cette mise à disposition par interface de programmation vise à faciliter l’intégration des protections dans des produits qui ne souhaitent pas gérer eux-mêmes toute l’infrastructure d’un modèle.

Il convient toutefois de distinguer filtrage et infaillibilité. Un système de classification peut commettre des erreurs, bloquer un contenu légitime ou, à l’inverse, ne pas identifier un contenu problématique. Son intérêt réside dans la réduction du risque et dans son association à d’autres mécanismes de contrôle.

LlamaFirewall veut centraliser les garde-fous

Avec LlamaFirewall, Meta propose un dispositif présenté comme un centre de contrôle pour la sécurité des systèmes d’IA. Le principe est de faire fonctionner plusieurs modèles ou mécanismes de sécurité ensemble, plutôt que d’isoler chaque protection dans son propre composant. LlamaFirewall peut ainsi se connecter aux autres outils de sécurité de Meta et organiser leur intervention dans une même application.

Le dispositif vise notamment à repérer et bloquer plusieurs catégories de comportements à risque : les injections de prompts, la génération de code potentiellement néfaste et certains usages dangereux associés aux plug-ins d’IA. Cette dernière dimension devient cruciale à mesure que les assistants passent de la recommandation à l’action, par exemple lorsqu’ils consultent une base de connaissances ou utilisent un outil externe.

Une architecture de ce type permet aux équipes techniques de mieux visualiser où une menace est détectée et quelle protection doit intervenir. Elle ne dispense pas les développeurs de limiter les droits accordés aux agents IA. Lorsqu’un assistant peut accéder à un document sensible ou déclencher une action, le principe de précaution consiste aussi à réduire ses autorisations au strict nécessaire.

Prompt Guard 2 mise sur une détection plus accessible

Meta actualise aussi Llama Prompt Guard, son outil spécialisé dans la détection des tentatives de jailbreak et d’injection de prompts. Le modèle principal, Prompt Guard 2 86M, est présenté comme une version optimisée pour identifier plus efficacement ces signaux de manipulation.

L’entreprise lance en parallèle Prompt Guard 2 22M, une variante plus légère. Le nombre inscrit dans leur nom différencie leurs tailles respectives. L’intérêt d’un modèle compact est pratique : il peut être déployé avec moins de ressources, ce qui compte lorsqu’il doit examiner un très grand nombre de requêtes avant qu’elles n’atteignent un assistant.

Selon Meta, Prompt Guard 2 22M permettrait de réduire la latence et les coûts de calcul jusqu’à 75 % par rapport à son prédécesseur. Cette promesse répond à un compromis bien connu dans l’IA : plus une vérification est coûteuse ou lente, plus les équipes risquent d’être tentées de la réserver à quelques cas. Un composant plus léger peut au contraire être appliqué plus largement, y compris dans des services exigeant des réponses rapides.

La rapidité ne doit cependant pas devenir le seul critère de choix. Une organisation doit également vérifier la qualité de détection obtenue dans son contexte, la nature des langues et contenus traités, ainsi que la manière dont les alertes sont exploitées. Détecter une attaque ne suffit pas si aucune procédure claire ne prévoit ensuite le blocage, la vérification humaine ou la journalisation de l’incident.

Des tests conçus pour les équipes de cybersécurité

Meta complète ses outils de protection par des instruments d’évaluation. La mise à jour de CyberSec Eval 4 vise à aider les organisations à mesurer les capacités et les limites des systèmes d’IA en matière de cybersécurité. Les benchmarks ne constituent pas une défense en production, mais ils jouent un rôle essentiel : ils permettent de comparer des comportements dans des scénarios définis et de chercher les faiblesses avant le déploiement.

Le nouvel outil CyberSOC Eval s’intéresse plus précisément au fonctionnement d’un centre opérationnel de sécurité, souvent désigné par l’acronyme SOC. Ces équipes analysent les alertes, cherchent les signes d’une intrusion et coordonnent la réponse à un incident. Meta indique avoir élaboré cet outil avec des experts de la cybersécurité, dont CrowdStrike, afin d’évaluer les performances de l’IA dans des environnements plus proches des situations réelles rencontrées par les défenseurs.

Autre ajout, AutoPatchBench se concentre sur la capacité des modèles Llama à identifier et corriger automatiquement des vulnérabilités dans du code avant qu’elles ne soient exploitées de façon malveillante. Dans ce domaine, l’automatisation peut accélérer le travail des équipes, mais elle suppose aussi une validation sérieuse. Un correctif généré par une IA doit être testé : il peut résoudre une faille tout en créant une régression ou en modifiant un comportement important du logiciel.

Le programme Llama Defenders cible aussi les données et la fraude vocale

Pour organiser l’accès à ces solutions, Meta lance le Llama Defenders Program, destiné aux partenaires et aux développeurs. Le programme doit donner accès à une sélection d’outils d’IA, comprenant des options open source et des outils exclusifs, selon les enjeux de sécurité auxquels sont confrontées les organisations.

Parmi les capacités proposées figure un outil de classification automatique de documents sensibles, développé en interne par Meta. Son objectif est d’attribuer des étiquettes de sécurité aux documents afin de limiter les fuites d’informations et leur emploi inapproprié dans les systèmes d’IA.

Le sujet est particulièrement important pour les configurations dites RAG, pour retrieval-augmented generation. Dans ce type de système, un assistant ne répond pas uniquement à partir de son entraînement général : il va rechercher des informations dans une base documentaire de l’entreprise avant de formuler sa réponse. Cela peut améliorer la pertinence, mais aussi exposer des données confidentielles si les droits d’accès et la classification des documents sont mal gérés.

Meta annonce également deux outils pour détecter les voix synthétiques : Llama Generated Audio Detector et Llama Audio Watermark Detector. La fraude vocale devient une préoccupation concrète, notamment dans les appels de phishing où un escroc peut tenter d’imiter une voix pour inspirer confiance ou créer un sentiment d’urgence. Les outils sont proposés aux partenaires pour aider à identifier l’audio généré par IA dans ces scénarios. Meta cite Zendesk, Bell Canada et AT&T parmi les entreprises engagées dans l’intégration de ces technologies.

La détection ne doit pas être comprise comme une preuve absolue de fraude. Elle constitue un signal supplémentaire, à combiner avec la vérification de l’identité, des procédures de rappel sur un numéro connu et la prudence face aux demandes inhabituelles.

WhatsApp : vers un traitement privé des requêtes d’IA

Meta expose enfin une technologie de traitement privé envisagée pour WhatsApp. L’ambition est de permettre à une IA d’effectuer des tâches utiles, comme résumer des messages non lus ou aider à rédiger une réponse, sans que Meta ou WhatsApp puissent accéder au contenu des messages concernés.

L’enjeu est sensible. Les assistants IA ont besoin de traiter une information pour la résumer ou la reformuler, mais les utilisateurs peuvent raisonnablement vouloir que le contenu de leurs conversations privées ne soit pas visible par la plateforme qui fournit cette fonctionnalité. Meta présente donc cette architecture comme une réponse technique à la tension entre utilité des fonctions d’IA et confidentialité des échanges.

L’entreprise affirme adopter une démarche de transparence en publiant son modèle de menace et en invitant les chercheurs en sécurité à tester la robustesse de l’architecture avant son déploiement. Un modèle de menace décrit les attaques envisagées, les acteurs susceptibles de les mener et les protections censées y répondre. Le soumettre à l’examen de spécialistes externes est une étape importante, car la confidentialité d’un système ne peut pas se limiter à une promesse : elle doit résister à une analyse technique et à des tentatives de contournement.

Ce qu’il faut surveiller

Ces annonces illustrent la transformation de la sécurité de l’IA en un ensemble de pratiques concrètes : filtrer les entrées et les sorties, contrôler les outils auxquels l’assistant a accès, tester ses réactions face à des scénarios d’attaque, protéger les documents internes et détecter les contenus synthétiques utilisés dans la fraude.

La question centrale sera celle de l’adoption effective de ces outils. Les développeurs devront déterminer comment les intégrer sans dégrader l’expérience des utilisateurs, comment traiter les faux positifs et comment évaluer les protections sur leurs propres données. Pour les entreprises, le déploiement d’un modèle Llama ne pourra pas se résumer au choix d’un modèle : il impliquera des règles d’accès, une supervision et des procédures de réponse aux incidents.

Le projet de traitement privé sur WhatsApp sera également à suivre de près. Son intérêt dépendra autant de sa mise en œuvre technique que de la capacité de Meta à rendre ses garanties compréhensibles et vérifiables. Dans un contexte où l’IA s’invite dans des communications, des documents et des outils professionnels de plus en plus sensibles, la confiance se construira sur des protections mesurables, pas seulement sur des fonctionnalités annoncées.