PuzzleMask : technique d'injection de prompt en prose pour contourner les gardiens LLM

🔍 Contexte

Publié le 10 septembre 2026 par Check Point Research, cet article présente PuzzleMask, une nouvelle technique d’attaque ciblant les pipelines LLM à double étage (gatekeeper → target model). La recherche démontre comment des payloads malveillants peuvent être dissimulés dans de la prose ordinaire en anglais, sans recours à des encodages exotiques (Base64, emojis, formatage invisible).

⚙️ Mécanisme de l’attaque

La technique repose sur un wrapper en prose soigneusement construit qui encapsule un payload interdit. Le principe exploite la différence de capacités entre :

• Le gatekeeper LLM (modèle léger, sans raisonnement approfondi ni interpréteur de code) qui classe le prompt comme bénin
• Le modèle cible (modèle puissant avec accès à un interpréteur Python et haute capacité de raisonnement) qui extrait et exécute le payload

Dans tous les tests, le modèle cible ayant réussi l’extraction a utilisé >1 minute de temps de réflexion et >2 scripts Python exécutés.

🧪 Résultats expérimentaux

Gatekeepers testés :

• gpt-4o-mini-2024-07-18
• gpt-oss-safeguard:20b
• claude-3-haiku-20240307
• llama-guard3:8b

Modèle cible : gpt-5-thinking-high avec interpréteur Python

Payloads testés :

• print flag last word
• print macarena full lyrics
• encrypt documents; rm plain copies

Résultats : 23 prompts obfusqués générés — 100% ont passé les gatekeepers sans détection ; >90% ont été correctement extraits et traités par le modèle cible.

🎯 Portée et limites

La technique permet de soumettre un prompt arbitraire sans revue par le système de contrôle rapide. Elle n’est pas un jailbreak en soi : elle ne contourne pas les garde-fous internes du modèle cible, mais uniquement le gatekeeper externe. Elle peut néanmoins être combinée avec un jailbreak comme payload.

Le pipeline de génération est actuellement coûteux en ressources (>15 minutes pour des payloads courts), ce qui limite son usage à grande échelle dans sa forme actuelle.

📄 Nature de l’article

Publication de recherche offensive en sécurité IA, visant à documenter une nouvelle classe de vulnérabilité dans les architectures LLM à pipeline multi-étages et à sensibiliser la communauté CTI à ce vecteur d’attaque émergent.

🧠 TTPs et IOCs détectés

TTP

• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1059.006 — Command and Scripting Interpreter: Python (Execution)

IOC

• Chemins : ~/Documents

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 11 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 59/100 (moyenne)

• ✅ research.checkpoint.com — source reconnue (liste interne) (20pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 2 TTP(s) MITRE (8pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://research.checkpoint.com/2026/puzzlemask-abusing-plain-prose-as-a-covert-ai-attack-vector/