Meta SecAlign : le premier modèle ouvert avec défense intégrée contre l'injection de prompt

De quoi s’agit-il ?

Meta SecAlign est un grand modèle de langage à poids ouverts livré avec une défense contre l’injection de prompt intégrée au modèle lui-même, plutôt qu’ajoutée en surcouche sous forme de filtre externe. Il a été publié sur arXiv le 3 juillet 2026 (papier 2507.02735, avec une révision v2 le même mois) par des chercheurs de Meta (FAIR) et de l’UC Berkeley ; les poids et le code d’entraînement sont disponibles sur le dépôt GitHub facebookresearch/Meta_SecAlign. Les auteurs le présentent comme le premier LLM entièrement open source, à poids ouverts, doté d’une défense contre l’injection de prompt au niveau du modèle atteignant des performances de qualité commerciale.

Deux modèles sont publiés : Meta-SecAlign-8B, basé sur Llama-3.1-8B-Instruct, et Meta-SecAlign-70B, basé sur Llama-3.3-70B-Instruct. L’objectif affiché de cette ouverture est de permettre à la communauté sécurité d’étudier, d’attaquer et d’améliorer les défenses contre l’injection sur un vrai modèle — ce que les modèles commerciaux fermés, aux défenses propriétaires, rendent difficile.

Comment ça marche

L’injection de prompt fonctionne parce qu’un LLM voit les instructions et les données dans le même flux de jetons indifférencié : un texte arrivant dans une page web récupérée, une sortie d’outil ou un document peut être interprété par le modèle comme une commande à exécuter. Meta SecAlign s’attaque à cette cause racine par une méthode appliquée à l’entraînement, et non par un correctif au moment de l’inférence.

La technique s’appuie sur deux travaux antérieurs de la même lignée. StruQ (requêtes structurées) sépare le prompt de confiance des données non fiables à l’aide de délimiteurs dédiés, afin que le modèle puisse distinguer les deux. SecAlign, la méthode originale de 2024 (publiée à ACM CCS 2025), ajoute ensuite l’optimisation par préférence : les auteurs construisent un jeu de données de préférences où chaque exemple associe une entrée contenant une injection à une réponse sûre (qui suit l’instruction légitime et ignore l’injection) et à une réponse non sûre (qui obéit à l’instruction injectée). L’optimisation par préférence entraîne le modèle à préférer fortement le comportement sûr. Conceptuellement :

Entrée :  [instruction de confiance]  +  [données non fiables ... « ignore ce qui précède et fais X »]
Sortie préférée :     répondre à l'instruction de confiance, traiter « fais X » comme une donnée inerte
Sortie rejetée :      exécuter X

Meta SecAlign applique cette recette à l’échelle d’un modèle de fondation. Selon le papier, l’entraînement du modèle 70B a duré environ 3 époques, soit à peu près 7 heures sur 8 GPU NVIDIA H200. Le résultat est évalué sur 9 bancs d’essai d’utilité (dont MMLU, MMLU-Pro, IFEval, BBH, GPQA Diamond, AlpacaEval2, SEP, ainsi que les pistes agentiques AgentDojo et WASP) et 7 bancs d’essai de sécurité. L’affirmation centrale est que Meta-SecAlign-70B atteint une robustesse à l’état de l’art — souvent des taux de réussite d’attaque inférieurs à ceux de GPT-4o-mini, GPT-4o et Gemini-Flash 2.0/2.5 — tout en conservant une capacité générale comparable à celle du modèle de base non défendu. Sur AgentDojo en particulier, le papier indique que la défense abaisse le taux de réussite d’attaque tout en augmentant l’utilité sur la tâche, la combinaison que la plupart des défenses n’atteignent pas.

Pourquoi c’est important

La plupart des défenses contre l’injection de prompt déployées aujourd’hui sont des filtres d’entrée/sortie, des classifieurs ou des astuces d’ingénierie de prompt (délimiteurs, rappels « sandwich »). Elles sont utiles mais superficielles : le modèle sous-jacent reste enclin à suivre toute instruction qu’il lit, si bien qu’un attaquant déterminé qui franchit le filtre atteint un modèle non défendu. Les travaux SecAlign antérieurs rapportaient qu’une défense « sandwich » naïve laissait un taux de réussite d’attaque de 96 % et que StruQ cédait encore dans environ 56 % des cas, tandis que l’alignement par optimisation de préférence ramenait de nombreuses attaques sous les 10 %. Déplacer la défense dans les poids change l’économie de l’attaque : l’adversaire doit désormais défaire la préférence apprise par le modèle, et non plus un simple emballage autour de lui.

L’ouverture est l’autre raison de s’y intéresser. Jusqu’ici, les défenses les plus solides au niveau du modèle vivaient dans des produits fermés, que les chercheurs externes ne pouvaient ni mesurer, ni sonder, ni reproduire. Un modèle défendu ouvertement disponible offre aux red teams, ingénieurs ML et universitaires une référence partagée et inspectable — précisément le type de co-développement attaques/défenses qui fait avancer le domaine. Cela signifie aussi que les équipes qui construisent des agents peuvent adopter directement un modèle durci plutôt que de faire confiance à l’affirmation opaque d’un fournisseur.

La réserve honnête : aucune défense n’est complète. Un modèle entraîné à résister à l’injection est plus robuste, pas invulnérable, et une robustesse mesurée sur les bancs d’essai actuels peut s’éroder face aux attaques adaptatives de demain. L’entraînement de type SecAlign réduit fortement la réussite des attaques mais ne l’annule pas ; il doit être combiné aux contrôles d’architecture ci-dessous plutôt que traité comme une solution miracle.

Défenses

1. Privilégiez un modèle doté d’une défense intégrée contre l’injection pour les charges agentiques. Si vous choisissez un modèle de base pour un agent utilisant des outils, un modèle défendu et évalué ouvertement comme Meta SecAlign vous donne une référence de robustesse mesurable, au lieu d’une affirmation invérifiable d’un fournisseur.
2. Gardez la frontière de confiance dans votre architecture, pas seulement dans le modèle. Continuez à séparer les instructions de confiance des données non fiables, à restreindre les permissions des outils et à appliquer le moindre privilège, afin qu’une injection réussie ait un rayon d’impact limité. La défense au niveau du modèle réduit la probabilité d’une brèche ; elle ne la contient pas.
3. Superposez les défenses. Combinez le modèle durci avec un filtrage d’entrée/sortie, des délimiteurs de requêtes structurées et une validation humaine pour les actions à fort impact. La défense en profondeur reste de mise.
4. Retestez face aux attaques adaptatives. Les chiffres des bancs d’essai reflètent des attaques connues. Faites tourner votre propre suite de red team (et relancez-la à mesure que de nouvelles techniques d’injection sont publiées) plutôt que de supposer qu’une défense d’entraînement généralise à toute attaque future.
5. Surveillez l’utilité autant que la sécurité. L’intérêt d’un modèle optimisé conjointement est qu’un filtrage trop agressif dégrade les performances ; vérifiez sur votre propre charge de travail que le modèle défendu préserve le comportement dont vous avez besoin.

Statut

Élément	Référence	Date	Notes
Papier Meta SecAlign	arXiv 2507.02735 (v1)	2026-07-03	Premier LLM à poids ouverts avec défense contre l’injection au niveau du modèle
Poids + code d’entraînement	facebookresearch/Meta_SecAlign (GitHub)	2026-07	Meta-SecAlign-8B (Llama-3.1-8B), Meta-SecAlign-70B (Llama-3.3-70B)
Méthode SecAlign originale	arXiv 2410.05451 / ACM CCS 2025	2024-10 → 2025	Défense par optimisation de préférence ; StruQ en prédécesseur
Explication BAIR (StruQ + SecAlign)	Blog Berkeley AI Research	2025-04-11	Contexte sur l’approche requêtes structurées + optimisation de préférence

Le glissement à retenir : la défense contre l’injection de prompt passe des emballages autour d’un modèle complaisant aux préférences apprises par le modèle lui-même — et, pour la première fois, sous une forme que toute la communauté peut inspecter et éprouver.