Jailbreak d'IA : définition, exemples et gravité des failles

Un jailbreak d'IA, c'est une façon détournée de formuler une requête pour faire sauter les garde-fous d'un modèle et lui faire produire ce qu'il devrait refuser. Le terme est partout (jailbreak de ChatGPT, de Claude, prompts partagés sur Reddit et GitHub), mais une question restait sans réponse : comment mesurer la gravité d'un jailbreak ? Anthropic vient de proposer un standard, l'échelle CJS. Ce guide explique ce qu'est un jailbreak, en quoi il diffère de la prompt injection, des exemples concrets, et comment cette nouvelle échelle change la donne pour les entreprises.

C'est quoi un jailbreak d'IA ?

Un jailbreak d'IA est une technique de formulation qui contourne les garde-fous d'un modèle de langage pour débloquer un comportement normalement interdit : générer du code malveillant, des instructions dangereuses, ou tout contenu que le modèle refuserait en temps normal. Le mot est emprunté au « jailbreak » de l'iPhone (débrider l'appareil), mais ici on ne modifie rien : on ruse avec le prompt.

Les formes les plus connues, souvent partagées sur Reddit ou GitHub :

• Le jeu de rôle : demander au modèle d'incarner un personnage « sans restrictions » (le fameux « DAN », Do Anything Now).
• La décomposition : découper une demande interdite en sous-requêtes anodines, puis recoller les réponses.
• L'encodage ou la traduction : faire passer la requête en base64, en langage rare ou déguisée en exercice fictif.
• Le contournement de contexte : noyer l'instruction interdite dans un long prétexte légitime (« pour un cours de sécurité... »).

Tous les jailbreaks ne se valent pas : certains ne débloquent qu'un détail sans conséquence, d'autres rendent le modèle réellement dangereux. C'est tout l'enjeu de savoir les noter, ce que nous verrons plus bas.

Jailbreak ou prompt injection : quelle différence ?

On confond souvent les deux, mais ce n'est pas la même attaque :

• Le jailbreak vient de l'utilisateur qui parle au modèle : il veut lui faire dire ce qu'il refuse. C'est un contournement de politique.
• La prompt injection vient de données externes que le modèle lit (une page web, un e-mail, un document, un ticket) et qui contiennent des instructions cachées détournant l'agent de sa tâche. C'est un détournement à l'insu de l'utilisateur, particulièrement critique pour les agents IA qui naviguent sur le web ou lisent vos boîtes mail.

En clair : le jailbreak, c'est vous qui poussez le modèle ; la prompt injection, c'est un tiers qui pilote le modèle à travers un contenu qu'il consulte. Les deux relèvent de la sécurité des LLM, mais appellent des défenses différentes. La suite de cet article porte sur les jailbreaks.

D'où vient l'échelle CJS ?

Petit rappel du contexte. En juin, Fable 5 a été banni mondialement puis redéployé après qu'un rapport a décrit une technique de contournement de ses garde-fous. L'affaire a révélé un vide : sans standard pour dire si une faille est anecdotique ou grave, chaque découverte déclenche l'incertitude, et parfois une réaction disproportionnée, comme une suspension mondiale. C'est l'un des symptômes du passage de l'IA de frontière sous contrôle gouvernemental.

Anthropic avait promis un cadre commun, élaboré avec Amazon, Microsoft, Google et les autres partenaires du programme Glasswing. Le voici, en version de travail : le laboratoire sollicite les critiques (à cyber-safeguards@anthropic.com) et a ouvert un programme HackerOne pour que les chercheurs soumettent les jailbreaks qu'ils découvrent.

Ce que Fable 5 bloque (et ne bloque pas)

Avant l'échelle, Anthropic clarifie ce que ses classificateurs de sécurité (les systèmes automatiques qui inspectent requêtes et réponses) doivent bloquer. La difficulté du domaine cyber, c'est le double usage : scanner un code à la recherche de vulnérabilités sert autant au défenseur qu'à l'attaquant. Plutôt que de tout interdire, Anthropic distingue quatre catégories :

Deux nuances importantes :

• La recherche de vulnérabilités n'est pas interdite en soi. Anthropic bloque le « high-uplift » : les vulnérabilités très complexes qu'aucun autre modèle largement disponible ne sait trouver, ainsi que la génération automatique d'exploits. Mais si d'autres modèles trouvent déjà une faille, autant laisser Fable 5 la trouver et la corriger. La divulgation responsable reste un gain net pour la défense, position partagée par le gouvernement américain.
• La marge de sécurité explique les faux positifs. Une partie des requêtes bénignes (et du double usage à bas risque) est bloquée par excès de prudence : une requête doit sembler très clairement inoffensive pour passer. Pour Fable 5, cette marge est plus large que pour tout modèle précédent. Si vos requêtes de code légitimes sont parfois refusées, c'est ce mécanisme, pas une interdiction du code.

Hors du champ de ces classificateurs : la fraude sans dimension cyber, la triche dans les jeux, le scraping, ou encore l'extraction du prompt système, qu'Anthropic ne considère pas comme un risque cyber (le laboratoire publie lui-même ses prompts système).

L'échelle CJS : quatre critères, cinq niveaux

Le cœur de la proposition est une note de gravité, calculée à partir de quatre axes. Les deux premiers décrivent ce que le jailbreak apporte à l'attaquant, les deux derniers la vitesse à laquelle il peut devenir un problème réel :

Détail malin : si le gain de capacité vaut zéro (un outil public obtient déjà le même résultat), le calcul s'arrête là. La faille est classée « informative », quel que soit son retentissement. C'est exactement l'argument qu'Anthropic défendait pendant l'affaire Fable 5 : une technique que GPT-5.5 ou Opus 4.8 reproduisent déjà n'apporte aucune capacité nouvelle à un attaquant.

La somme des quatre axes (sur 10) donne le niveau CJS :

L'échelle se veut exponentielle : chaque niveau est plusieurs fois plus grave que le précédent. Et le score calculé n'est qu'un plancher : Anthropic se réserve le droit de relever le niveau final, par exemple si une sortie isolée est grave en soi (une vulnérabilité critique inédite dans un logiciel très déployé), si aucune mitigation rapide n'existe, ou si la faille se combine dangereusement avec d'autres.

Un exemple parlant tiré de la publication : un contournement universel du prompt système, public et réutilisable, qui désactive les garde-fous sur toutes les catégories offensives, obtiendrait le score maximal, CJS-4 (10/10). À l'inverse, une méthode très puissante mais extrêmement difficile à reproduire, découverte après six mois de travail et gardée confidentielle, resterait en CJS-2 : redoutable sur le papier, mais loin d'être un danger immédiat.

Ce que ça change pour votre PME

Ce cadre peut sembler réservé aux laboratoires. Trois raisons de vous y intéresser :

1. Vous comprenez (enfin) les refus de votre assistant de code. Quand Fable 5 refuse une requête de développement banale, c'est la marge de sécurité qui déborde, pas une censure du code. Savoir distinguer les quatre catégories d'usage aide vos équipes à reformuler, ou à choisir le bon modèle pour le bon usage.
2. Un CVSS de l'IA arrive, et vos RSSI vont s'en servir. Aujourd'hui, impossible de comparer objectivement la robustesse de deux modèles face aux jailbreaks. Un standard partagé type CJS permettra d'exiger des fournisseurs des réponses chiffrées, comme on le fait depuis vingt ans pour les vulnérabilités logicielles. C'est le même mouvement que nous décrivons pour les évaluations privées : mesurer au lieu de croire.
3. La défense en profondeur est un modèle à copier. Classificateurs, contrôles d'accès, supervision hors ligne, entraînement à refuser : Anthropic superpose les couches car aucune n'est parfaite. Si vous déployez des agents IA dans votre entreprise, la logique est la même : ne comptez jamais sur une seule barrière, surtout pour des agents qui touchent à vos données ou vos systèmes (voir notre article sur l'IA souveraine).

C'est le cœur de notre métier chez SprintOS : déployer l'IA dans un cadre maîtrisé, mesuré et conforme, selon une méthode structurée. Pour évaluer la sécurité de vos usages IA, faites le point avec un expert.

Questions fréquentes

C'est quoi un jailbreak d'IA ?

Un jailbreak est une façon inhabituelle de formuler des requêtes à un modèle d'IA (ChatGPT, Claude, Gemini...) pour contourner ses garde-fous, et débloquer des comportements normalement interdits (par exemple des tâches de cybersécurité dangereuses). Tous les jailbreaks ne se valent pas : certains ne débloquent que des comportements mineurs, d'autres rendent le modèle largement plus dangereux.

Quelle différence entre jailbreak et prompt injection ?

Le jailbreak vient de l'utilisateur : c'est lui qui formule ses requêtes de façon à contourner les garde-fous du modèle. La prompt injection vient d'un contenu tiers : des instructions malveillantes sont cachées dans une page web, un document ou un e-mail que l'IA lit, et détournent son comportement à l'insu de l'utilisateur. Le jailbreak, c'est vous qui poussez le modèle ; la prompt injection, c'est un tiers qui le pilote via un contenu qu'il consulte.

C'est quoi l'échelle CJS (Cyber Jailbreak Severity) ?

C'est une échelle proposée par Anthropic et ses partenaires du programme Glasswing pour noter la gravité d'un jailbreak cyber, de CJS-0 (informatif) à CJS-4 (critique). Le score combine quatre critères : le gain de capacité pour l'attaquant, l'ampleur de ce gain, la facilité de militarisation et la facilité de découverte. L'échelle se veut exponentielle : chaque niveau est plusieurs fois plus grave que le précédent.

Pourquoi comparer l'échelle CJS au CVSS ?

Le CVSS (Common Vulnerability Scoring System) est le standard qui note la gravité des vulnérabilités logicielles de 0 à 10, et qui permet à toute l'industrie de parler le même langage. L'échelle CJS vise le même rôle pour les jailbreaks d'IA : un vocabulaire commun entre laboratoires, chercheurs et gouvernements pour trier les failles et calibrer la réponse, au lieu de réactions au cas par cas.

Que bloquent exactement les garde-fous cyber de Fable 5 ?

Anthropic classe les usages cyber en quatre catégories : les usages interdits (rançongiciels, développement de malware, sabotage, exfiltration...) toujours bloqués ; le double usage à haut risque (pentest, développement d'exploits, escalade de privilèges) bloqué en attendant des contrôles d'accès réservés aux acteurs de confiance ; le double usage à bas risque (OSINT, vulnérabilités qu'un autre modèle trouve déjà) surveillé et parfois bloqué par la marge de sécurité ; et les usages bénins (codage sécurisé, débogage, administration IT, analyse de logs) autorisés.

Pourquoi Fable 5 bloque-t-il parfois des requêtes de code légitimes ?

À cause de la « marge de sécurité » : les classificateurs bloquent volontairement une partie des requêtes probablement bénignes, pour être sûrs de ne laisser passer aucune requête réellement dangereuse. Une requête doit sembler très clairement inoffensive pour éviter le déclenchement. Pour Fable 5, cette marge a été réglée plus large que pour tout autre modèle, ce qui augmente les faux positifs sur le code du quotidien.

Qu'est-ce que ça change pour une PME ?

Trois choses : vous comprenez pourquoi certaines requêtes de développement légitimes sont refusées (marge de sécurité, pas de censure du code) ; un standard de type CVSS pour l'IA aidera les DSI et RSSI à évaluer objectivement la sécurité des modèles qu'ils achètent ; et l'architecture de défense en profondeur d'Anthropic (classificateurs, contrôles d'accès, supervision) est un bon modèle à répliquer dans vos propres déploiements d'agents IA.

En résumé

Avec cette publication, Anthropic transforme l'affaire Fable 5 en proposition de standard : des catégories d'usage cyber claires (interdit, haut risque, bas risque, bénin), une marge de sécurité assumée qui explique les faux positifs, et surtout l'échelle CJS, qui note la gravité d'un jailbreak de 0 à 4 selon quatre critères objectifs. Si l'industrie l'adopte, les failles d'IA auront leur CVSS : un langage commun pour trier l'anecdotique du critique, et éviter qu'une faille mineure ne déclenche à nouveau la coupure mondiale d'un modèle. Pour les entreprises, le message est double : les refus excessifs de votre assistant de code ont une explication technique, et la sécurité de l'IA devient enfin mesurable.