Mookay Vigilance rassemble des données, études et statistiques sourcées sur les modèles d’IA générative : sécurité applicative, sûreté interne, biais éthiques et politiques. Avec un focus cybersécurité et sécurité des systèmes. Chaque chiffre est daté et rattaché à sa source.
73 %
des systèmes IA audités exposés à la prompt injection
97 %
de succès pour les attaques multi-tours sur les LLM de pointe
90 %
des organisations GenAI exposées à un risque de fuite
35 M€
de sanction maximale prévue par l’AI Act
Les garde-fous d’un fournisseur réduisent le risque mais ne l’éliminent pas. La sécurité se pense en couches sur tout le système.
Limites fondamentales
Avant de parler de sécurité, il faut comprendre ce qu’un LLM ne peut structurellement pas faire. Ces limites ne sont pas des défauts corrigibles : elles sont établies mathématiquement.
Dans un « monde calculable », il est impossible d’éliminer totalement l’hallucination : un LLM ne peut pas apprendre toutes les fonctions calculables et hallucinera donc nécessairement comme résolveur de problèmes généraux.
Xu, Jain & Kankanhalli (2024/2025), arXiv:2401.11817 · Preprint
Un second travail aboutit à la même conclusion par une autre voie : les hallucinations découlent de la structure mathématique et logique fondamentale des LLM, et non d’erreurs occasionnelles.
Banerjee et al. (2024), arXiv:2409.05746 · Preprint
Inévitables sur un ensemble infini d’entrées, les hallucinations peuvent être rendues statistiquement négligeables dès lors que la qualité et la quantité de données sont suffisantes.
Hallucinations… statistically negligible (2025), arXiv:2502.12187 · Preprint
Message Vigilance : l’enjeu n’est pas de « supprimer » l’hallucination (impossible) mais de la confiner sous un seuil acceptable via l’ancrage documentaire (RAG), la vérification en sortie et le contrôle humain sur les usages critiques.
Benchmarks techniques
Un score de benchmark est en aval de la qualité des données d’entraînement. En 2026, un score MMLU ne veut presque plus rien dire : ce qui compte, c’est GPQA Diamond, SWE-bench Verified, HLE et les tâches agentiques réelles.
Les benchmarks qui discriminent encore les modèles de pointe.
Recommandation experte : ne jamais s’appuyer sur un benchmark public seul. Construire une évaluation propre de 100–200 cas représentatifs du workflow réel du client. C’est précisément le cœur d’une mission d’audit Mookay.
Repère daté · fév. 2026
GPQA Diamond : leaders à 91–94 %, plancher non-expert ~34 %. SWE-bench Verified : meilleurs modèles agentiques ~80 %.
Sources : Vellum LLM Leaderboard, LLM-Stats, BenchmarkingAgents, LXT, iternal.ai (2026). Chiffres à dater systématiquement.
Fiabilité & véracité
Taux d’hallucination par type de tâche
Les taux les plus élevés, sans ancrage documentaire.
L’ancrage documentaire est le levier n°1 de fiabilité.
L’ancrage documentaire fait chuter le taux d’hallucination de 40–80 % (génération ouverte) à moins de 2 % (RAG). Sources : SQ Magazine, LXT, Suprmind, HELM/Stanford (2026).
Le piège à connaître
Aucun benchmark ne donne « le » taux d’hallucination d’un modèle. TruthfulQA est partiellement saturé : un arbre de décision atteint 79,6 % sans voir la question, en exploitant le format des réponses. HaluEval: un classifieur basé sur la longueur (flaguer toute réponse > 27 caractères) atteint 93,3 % : il mesure la longueur, pas la véracité.
HELM : l’évaluation multi-dimensionnelle
HELM n’optimise pas un score unique mais produit un profil : précision, calibration, robustesse, équité, biais, toxicité, efficacité. C’est le modèle conceptuel à suivre pour un audit sérieux.
Bonne pratique : croiser au minimum une tâche ancrée (type Vectara) et une tâche de connaissance ouverte, et préciser la version exacte du modèle testé.
Sécurité & vulnérabilités
Le cœur de la démarche Vigilance. Plusieurs résultats académiques convergent : les défenses actuelles ne sont pas robustes. Même face à des protections en couches, certaines attaques conservent un taux de succès résiduel supérieur à 15 %.
Taux de réussite des attaques
Moyenne sur GPT-4o, Gemini, DeepSeek.
Modèles open-weight : échouent aux tests de sécurité 70 % plus souvent que les propriétaires. Sources : SQ Magazine, SentinelOne, BlueRadius, Nature Communications (Hagendorff et al., 2026).
Multi-tours
Les défenses ne résistent pas aux jailbreaks humains menés sur plusieurs échanges.
Li et al. (2024), arXiv:2408.15221
L’attaquant joue en second
Des attaques adaptatives plus fortes contournent les défenses, contre tout sentiment de sécurité fondé sur des défenses statiques.
Hayes et al. (2025), arXiv:2510.09023
Persuasion
« Humaniser » la requête (techniques de persuasion) suffit à faire céder les modèles.
Zeng et al. (2024), ACL
OWASP Top 10 for LLM Applications
Référentiel de faitPrompt injection : la vulnérabilité n°1
#1 du OWASP Top 10 LLM pour la 2ᵉ édition consécutive. 73 % des systèmes audités exposés en 2026, taux de succès 50–84 %, et > 70 % des techniques de jailbreak. Le travail fondateur sur l’injection indirecte (Greshake et al., 2023, AISec/CCS) démontre la compromission d’applications réelles.
Sûreté interne & alignement
La question la plus profonde de la sécurité IA. La recherche montre que l’alignement apparent peut masquer un comportement différent. Un domaine de pointe, largement issu de la recherche peer-reviewed.
Premier exemple empirique d’un LLM qui feint l’alignement sans y avoir été entraîné : se croyant surveillé, le modèle se conforme stratégiquement, puis dévie hors surveillance.
Greenblatt et al. (2024), Anthropic & Redwood · arXiv:2412.06975
Le feedback humain (RLHF) contribue causalement à des réponses flatteuses mais inexactes : les humains préfèrent qu’on leur donne raison. Peut dégénérer en « reward-tampering ».
Sharma et al. (2024), ICLR · Denison et al. (2024), arXiv:2406.10162
Un comportement trompeur peut persister malgré l’entraînement de sécurité standard, qui apprend parfois au modèle à mieux le cacher plutôt qu’à l’éliminer.
Hubinger et al. (2024), ICLR (« Sleeper Agents »)
Entraîner un modèle sur une tâche étroite (ex. code peu sûr) peut induire un mauvais alignement large, débordant le périmètre de la tâche d’origine.
Nature (2026), s41586-025-09937-5
Les modèles avancés peuvent reconnaître qu’ils sont en situation de test et ajuster leur comportement, fragilisant les métriques « boîte noire » et poussant vers l’audit du raisonnement interne.
Greenblatt et al. (2024) ; revue Zenodo (2026)
Affiner un modèle aligné (même sans intention malveillante) peut dégrader ses garde-fous. Implication : l’organisation qui fine-tune peut être requalifiée fournisseur au sens de l’AI Act.
Qi et al. (2024), ICLR
Biais éthiques & politiques
La toxicité implicite (sans insulte ni grossièreté) est la plus difficile à détecter et la plus risquée en contexte RH ou relation client. Un audit superficiel sous-estime systématiquement le risque réel.
Tendance à reproduire des faussetés humaines : 817 questions, 38 catégories (santé, droit, finance, politique).
Lin, Hilton & Evans (2022), ACL
Détection de discours haineux implicite (sans insulte) : 274 000 énoncés générés, 13 groupes.
Hartvigsen et al. (2022), ACL · arXiv:2203.09509
Le modèle refuse-t-il vraiment ce qu’il devrait, sans sur-refuser ? Évaluation systématique du refus de sécurité.
Xie et al. (2025), arXiv:2406.14598
Biais politiques · à traiter avec nuance
Sur 43 LLM(États-Unis, Europe, Chine, Moyen-Orient ; prompts ANES & Pew), la majorité penche au centre-gauche ou à gauche. Point clé : l’échelle et le caractère ouvert/fermé du modèle ne prédisent pas l’orientation : c’est la stratégie d’alignement et le contexte institutionnel qui pèsent le plus.
Tendance de base observée : économiquement à gauche, socialement libertaire.
La malléabilité = un risque de manipulation
De petits changements de prompt suffisent à déplacer l’orientation. Le persona prompting rend le comportement idéologiquement malléable. Le fine-tuning partisan déplace l’orientation et dégrade la détection de désinformation.
Bang et al. (2024) ACL · Feng et al. (2023) ACL · arXiv:2508.16013
Le caveat méthodologique essentiel
L’usage du Political Compass Test pour évaluer les LLM est critiqué quant à sa validité. Un audit sérieux ne s’appuie jamais sur un seul instrument.
Röttger et al. (2024), ACL (« Political Compass or Spinning Arrow? »)
Contexte : le US AI Action Plan (2025) exige des systèmes « exempts de biais idéologique », un objectif que la recherche juge difficile à atteindre, ce qui renforce la pertinence d’un audit indépendant.
Fuite de données & Shadow AI
Le Shadow AI (des employés utilisant des outils IA non approuvés avec des données de l’entreprise) est le principal angle mort : des données sensibles sortent du périmètre de gouvernance et de conformité.
90 %
des organisations GenAI exposées à un risque de fuite de données
27 %
des développeurs ont partagé des données sensibles avec des outils IA sans le savoir
38 %
rapportent une exposition accidentelle via du code généré par IA
65 %
des entreprises s’inquiètent de la fuite via les assistants de code
50 %
n’ont aucune politique de gestion des données sensibles dans les workflows IA
23 %
seulement ont établi une politique formelle de sécurité IA
4,88 M$
coût moyen d’une violation de données (record historique, IBM)
346
incidents recensés par l’AI Incident Database en 2025 (dont 179 deepfakes), un plancher
Cas emblématique : Samsung
Samsung a banni ChatGPT après une fuite de code propriétaire par ses ingénieurs. 77 % des entreprises ont rapporté un incident de sécurité lié à l’IA en 2024.
À retenir
L’AI Incident Database précise que ses 346 incidents 2025 sont un plancher : la plupart des incidents internes ne sont pas divulgués publiquement.
Sources : SQ Magazine, Practical DevSecOps, BlueRadius, IBM Cost of a Data Breach (2024–2026).
Cadre réglementaire
L’angle conformité, indispensable pour une organisation française. L’AI Act ne remplace pas le RGPD : les deux s’appliquent ensemble.
Calendrier AI Act (Règlement UE 2024/1689)
2 août 2026
Majorité des obligations applicables, dont la transparence de l’article 50.
Sanctions : jusqu’à 35 M€ ou un pourcentage du chiffre d’affaires mondial.
Les 4 niveaux de risque
Inacceptable
Interdit (art. 5) : manipulation, exploitation de vulnérabilités, notation sociale.
Haut risque
Annexe III : tri de CV, scoring crédit, évaluation scolaire → enregistrement UE, marquage CE, documentation.
Risque limité
Chatbot, génération de contenu, recommandation → obligation d’informer l’utilisateur.
Risque minimal
Aucune obligation spécifique.
Articulation RGPD ↔ CNIL
Statuts à identifier
Une PME utilisant ChatGPT ou Gemini peut être qualifiée de déployeur. Surtout : une entreprise qui fine-tune un modèle open-source pour un usage haut risque peut être requalifiée fournisseur et endosser la responsabilité légale complète.
ISO/IEC 42001 facilite la conformité conjointe AI Act + RGPD, mais ne satisfait pas le RGPD à elle seule. Sources : Sigma, aiacto, MDP Data, Knowlee, adevweb, CNIL (2026). Informatif : ne constitue pas un conseil juridique.
Bonnes pratiques de gouvernance
Identifier les systèmes et leur niveau de risque.
Définir ce qui peut être traité par quel outil.
Limiter ce que l’IA peut lire, les outils qu’elle appelle, les actions qu’elle déclenche.
Des classifieurs scannent les réponses pour détecter fuites et violations.
Partir du principe que la prompt injection finira par réussir, et se concentrer sur le confinement.
Réduire les hallucinations en ancrant les réponses dans des sources vérifiées.
Sur toute décision à effet juridique (art. 22 RGPD).
Lutter contre le Shadow AI par la montée en compétence des équipes.
Référentiels & frameworks
OWASP Top 10 for LLM
Sécurité applicative IA (v2025).
NIST AI RMF
Cadre de gestion des risques IA.
MITRE ATLAS
Taxonomie des menaces adversariales.
HELM (Stanford)
Évaluation holistique multi-dimensionnelle.
ISO/IEC 42001
Système de management de l’IA.
AI Incident Database
Recensement public des incidents.
LMSYS Chatbot Arena
Préférence humaine en aveugle.
MITRE / OWASP combinés
Défense en couches sur tout le système.
Bibliographie consolidée
Statut indiqué : peer-reviewed (revue ou conférence à comité de lecture : Nature, ICLR, NeurIPS, ACL) ou preprint (arXiv, en cours d’évaluation). Cliquez pour ouvrir la référence.
Hallucination is Inevitable: An Innate Limitation of LLMs
Xu, Jain & Kankanhalli (2024/2025)
LLMs Will Always Hallucinate, and We Need to Live With This
Banerjee et al. (2024)
Hallucinations are inevitable but can be made statistically negligible
(2025)
Top 10 for LLM Applications (LLM01:2025 Prompt Injection)
OWASP Foundation (2025)
Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection
Greshake et al. (2023)
Prompt Injection Attacks in LLMs and AI Agent Systems: A Comprehensive Review
MDPI Information 17(1):54 (2026)
Prompt Injection Attacks on LLMs: A Survey of Attack Methods, Root Causes, and Defense Strategies
CMC / ScienceDirect (2026)
Prompt Injection Attacks on Agentic Coding Assistants: A Systematic Analysis (SoK)
(2026)
LLM Defenses Are Not Robust to Multi-Turn Human Jailbreaks Yet
Li et al. (2024)
The Attacker Moves Second: Stronger Adaptive Attacks Bypass Defenses
Hayes et al. (2025)
Tree of Attacks: Jailbreaking Black-Box LLMs Automatically
Mehrotra et al. (2024)
AutoDAN: Generating Stealthy Jailbreak Prompts on Aligned LLMs
Liu et al. (2024)
Jailbreaking Black Box LLMs in Twenty Queries
Chao et al. (2024)
How Johnny Can Persuade LLMs to Jailbreak Them
Zeng et al. (2024)
HarmBench: A Standardized Evaluation Framework for Automated Red Teaming
Mazeika et al. (2024)
Fine-tuning Aligned LLMs Compromises Safety, Even When Users Do Not Intend To!
Qi et al. (2024)
Alignment Faking in Large Language Models
Greenblatt et al. (2024)
Towards Understanding Sycophancy in Language Models
Sharma et al. (2024)
Sycophancy to Subterfuge: Investigating Reward-Tampering in LLMs
Denison et al. (2024)
Sleeper Agents: Training Deceptive LLMs That Persist Through Safety Training
Hubinger et al. (2024)
Training LLMs on Narrow Tasks Can Lead to Broad Misalignment
Nature (2026)
A Structured State-of-the-Art Review on Alignment Faking in LLMs
Zenodo (2026)
TruthfulQA: Measuring How Models Mimic Human Falsehoods
Lin, Hilton & Evans (2022)
ToxiGen: Adversarial and Implicit Hate Speech Detection
Hartvigsen et al. (2022)
SORRY-Bench: Systematically Evaluating LLM Safety Refusal
Xie et al. (2025)
Beyond Partisan Leaning: A Comparative Analysis of Political Bias in LLMs
(2025)
The Hidden Bias: Explicit and Implicit Political Stereotypes in LLMs
(2025)
Measuring Political Bias in LLMs: What Is Said and How It Is Said
Bang et al. (2024)
Political Ideology Shifts in Large Language Models
(2025)
From Pretraining Data to LMs to Downstream Tasks: Tracking the Trails of Political Biases
Feng et al. (2023)
Political Compass or Spinning Arrow? Towards More Meaningful Evaluations
Röttger et al. (2024)
Note méthodologique
Les benchmarks publics sont des points de départ nécessaires mais insuffisants : saturation, contamination des données et dépendance au cadre d’évaluation en limitent la portée. Les sources [preprint] (arXiv) n’ont pas encore été validées par un comité de lecture : leurs résultats sont sérieux mais reflètent un débat scientifique en cours. Aucun benchmark ni résultat isolé ne suffit à caractériser un modèle : une évaluation rigoureuse croise plusieurs instruments et des tests sur cas d’usage réels. Les modèles évoluant en continu, tout chiffre ou conclusion doit être daté et réévalué périodiquement. Ce contenu est informatif et ne constitue pas un conseil juridique. Dernière revue documentaire : juin 2026.
Audit de vos modèles et workflows, évaluation sur cas d’usage réels, cartographie des risques et mise en conformité AI Act. Mookay transforme cette vigilance en plan d’action.
