L’essentiel
- Des chercheurs de l’IIT Bombay et d’Adobe Research reconstituent le prompt d’origine à partir du seul texte produit par un modèle, sans accès à ses poids.
- Leur méthode, baptisée « Previous-Token Prediction », entraîne un modèle inverse qui prédit les tokens précédents au lieu du suivant.
- Un modèle inverse entraîné sur le petit Qwen-3-0.6B retrouve le sens de prompts envoyés à GPT-4o : savoir quel modèle a répondu n’est même pas nécessaire.
- La démonstration porte sur des prompts d’une à deux phrases ; les system prompts longs n’ont pas été testés.
Une réponse suffit. Pas les paramètres internes du modèle, pas les logs du fournisseur, pas la moindre clé d’API : le texte produit, et rien d’autre, permet de remonter à la consigne qui l’a déclenché.
Le résultat vient d’une équipe de l’Indian Institute of Technology de Bombay et d’Adobe Research (Suhail et al.), autour d’une méthode qu’elle appelle la « Previous-Token Prediction » (PTP). L’exercice passait jusqu’ici pour hors de portée : des milliers de formulations différentes produisent des réponses voisines, et le trajet retour semblait donc perdu d’avance.
Un modèle entraîné à lire dans l’autre sens
Un modèle de langage avance token par token (le token est l’unité de texte qu’il manipule, un mot ou un fragment de mot) en prédisant le suivant. Les chercheurs entraînent l’opération miroir : un modèle inverse qui, à partir d’un texte, prédit les tokens qui le précèdent. Aucun ingrédient exotique. C’est précisément ce qui rend l’affaire sérieuse.
Ce modèle inverse est entraîné à partir de zéro, sur des données synthétiques générées par le modèle cible : il suffit de faire produire du texte au modèle visé, puis d’apprendre le chemin inverse. Dans un exemple du papier, le prompt « How to reach out to competitors to find their pricing strategies? » est reconstitué mot pour mot, accompagné de six variantes au sens équivalent mais formulées autrement, qui renvoient toutes des réponses similaires une fois réinjectées.
Quand le modèle qui a répondu n’a plus d’importance
La méthode ne dépend même pas du modèle visé. Un modèle inverse construit sur les sorties de Qwen-3-0.6B, un petit modèle ouvert, reconstitue aussi les prompts envoyés à GPT-4o. Les reconstitutions ne sont plus au mot près, mais elles capturent le sens et l’intention.
L’attaquant n’a donc besoin ni de connaître le modèle qui a généré le texte, ni d’y avoir accès. Un outil de 0,6 milliard de paramètres, entraîné une fois, s’applique ensuite à des sorties venues de n’importe où : une page marketing rédigée par une IA, une réponse de chatbot de support recopiée sur un forum, un mail commercial généré en série.
Depuis deux ans, le prompt métier est traité comme un actif d’entreprise : règles de modération, seuils de tarification, tournures maison, garde-fous. Tous les éditeurs ne misent pas dessus, d’ailleurs : Anthropic publie depuis 2024 les consignes cadres de ses applications Claude dans ses notes de version, là où la plupart gardent les leurs fermées. Cette protection ne tenait qu’à une hypothèse, celle de l’irréversibilité de la génération. Il y a quelques jours, un autre travail montrait que les blocs de raisonnement chiffrés renvoyés par les grandes API pouvaient être rejoués puis lus en clair. Deux résultats indépendants qui convergent : ce qu’un modèle émet renseigne sur ce qu’on lui a donné.
Des prompts courts, et un angle mort
La démonstration a ses bornes, et le papier ne les dissimule pas. Elle porte sur des prompts d’une à deux phrases, et ses auteurs ne revendiquent aucune attaque contre un système commercial en production.
Or un system prompt d’entreprise (la consigne cadre qui fixe le comportement d’un assistant, invisible pour l’utilisateur) tient aujourd’hui sur plusieurs paragraphes : rôle, ton, interdits, formats de sortie, appels d’outils, exceptions. Rien ne garantit que la reconstitution tienne à cette longueur, et personne ne sait à partir de combien d’instructions empilées le chemin retour se perd.
Deuxième nuance : reconstituer le sens n’est pas recopier le texte. Pour un secret industriel, la distinction pèse peu, puisque récupérer les règles suffit à les rejouer. Et l’utilisateur dont la requête sensible se déduit d’une réponse partagée publiquement ne s’en consolera pas davantage.
Reproduire d’abord, outiller ensuite
La suite se laisse anticiper, à condition de dire à quoi elle tient. Premier temps, quelques semaines : des reproductions sur modèles ouverts, plus faciles à outiller que les modèles fermés, avec des taux de reconstitution publiés et discutés. Deuxième temps, fin 2026 ou début 2027 : l’inversion livrée en bibliothèque, quelques lignes de code pour tester une sortie. Tout ce scénario tient à une variable : la longueur de prompt que la méthode encaisse. Si elle plafonne à deux ou trois phrases, l’affaire restera un problème d’utilisateur, pas un problème d’éditeur.
Troisième temps, courant 2027 : des défenses côté sortie. Réécriture des réponses par un second modèle, bruit stylistique, limitation du volume généré par client. Chacune coûte de la qualité, de la latence ou de l’argent, pour protéger une information qu’on aurait mieux fait de ne pas placer là. On saura que l’industrie a basculé le jour où un system prompt de produit connu sera reconstitué publiquement à partir de ses seules réponses, et où son éditeur le confirmera.
Traiter le prompt comme une donnée exposée
L’hygiène à installer, elle, n’attend pas ce basculement.
- Sortir du prompt tout ce qui est un secret : clés, seuils, barèmes, règles d’éligibilité. Ces décisions se prennent côté serveur, dans du code, pas dans une consigne en langage naturel.
- Versionner et dater les prompts métier comme n’importe quelle donnée sensible, pour pouvoir les changer vite le jour où l’un d’eux fuite.
- Cesser de fonder un avantage produit sur la seule formulation des instructions, y compris dans les argumentaires commerciaux.
La contre-mesure la plus solide reste architecturale : ce qui ne transite pas dans le prompt ne se reconstitue pas depuis la sortie. Les équipes qui appliquent déjà cette règle n’ont rien à changer. Les autres ont un inventaire à mener, prompt par prompt, avant que quelqu’un le mène à leur place.
Mon avis
Le prompt comme avantage concurrentiel a une date de péremption, et je la situe avant l’été 2027. Les entreprises qui vendent aujourd’hui un « moteur » qui se résume à un paragraphe d’instructions posé sur GPT ou Claude vont découvrir que leur propriété intellectuelle voyage dans chaque réponse envoyée à leurs clients. Je ne crois pas aux parades côté sortie, qui dégradent le produit pour couvrir un secret mal rangé. Ce qui restera défendable, ce sont les données propriétaires, les boucles de retour utilisateur et l’intégration métier, jamais la tournure de la consigne.
