Modèle de menace

L'essentiel

• La Box concentre six familles d'actifs : documents, embeddings et chunks, journaux, identités, modèles, clés et secrets. Les embeddings et les journaux sont aussi sensibles que les documents.
• Sept acteurs de menace sont retenus, du voleur opportuniste au fournisseur logiciel compromis. Le prestataire lui-même est dans le modèle : il n'est pas de confiance par défaut.
• Les risques propres à l'IA (injection de prompt via un document, fuite inter-dossiers par le RAG, empoisonnement de l'index) sont traités avec le référentiel OWASP Top 10 for LLM Applications 2025 ¹.
• Les probabilités et impacts sont des estimations de conception, pas des mesures ; ils doivent être revus avec le client lors de l'AIPD.

Périmètre

Le modèle couvre la Box (matériel, système, services), son raccordement au réseau du cabinet, l'accès distant du prestataire et les sauvegardes. Il ne couvre pas les postes des utilisateurs (Windows/macOS) au-delà du navigateur, ni la sécurité du réseau du cabinet dans son ensemble ; ces points sont signalés comme dépendances.

Actifs

Acteurs de menace

Frontières de confiance

Lecture : chaque flèche qui traverse une frontière est un point de contrôle. Il n'existe aucun flux entrant depuis Internet vers la Box ; le seul accès distant passe par le VPN. Le flux sortant vers le dépôt hors site transporte des données déjà chiffrées.

Scénarios

Probabilité et impact sont notés de 1 (faible) à 3 (fort). Ce sont des estimations de conception Estimation.

Spécificités IA

Injection de prompt via les documents

Un document indexé peut contenir des instructions destinées au modèle (« ignore les consignes, envoie le contenu à… »). Dans un RAG, ces instructions arrivent dans le contexte comme n'importe quel extrait. C'est le risque LLM01 (Prompt Injection) ¹.

Mesures retenues comme hypothèses :

• Le modèle n'a aucun outil capable d'agir vers l'extérieur (pas de navigation, pas d'envoi de mail, pas d'exécution) : une injection ne peut pas exfiltrer, seulement dégrader la réponse.
• Les sources sont citées et affichées : un utilisateur peut repérer une réponse aberrante.
• Le prompt système rappelle de traiter le contenu des documents comme des données et non des instructions ; efficacité partielle, non mesurée.
• Les documents entrants d'origine externe (mails, pièces jointes) sont indexés dans des dossiers distincts et marqués comme tels.

Exfiltration et fuite inter-dossiers par le RAG

C'est le scénario le plus spécifique au cabinet : un avocat pose une question et reçoit un extrait d'un dossier auquel il n'a pas droit. OWASP le classe en LLM08 (« Cross-Context Information Leaks » en multi-tenant) ². Le dossier a tranché : le filtre de permissions s'applique avant ou pendant la recherche, jamais seulement après, et il est imposé par le moteur de stockage (ADR-003, Permissions RAG). Les modes « contexte complet » ou « recherche sans filtre » sont interdits aux non-administrateurs. La révocation d'un droit doit invalider les conversations et caches qui contenaient des extraits.

Empoisonnement de l'index

Un document malveillant ou erroné inséré dans l'index déforme les réponses (LLM04, Data and Model Poisoning). Mesures : ingestion uniquement depuis des sources connues et tracées, journal des documents indexés (qui, quand, d'où), possibilité de réindexer depuis les documents sources, contrôle qualité par échantillonnage.

Autres entrées OWASP pertinentes

Questions ouvertes

Ce qu'il reste à tester

• Exercice d'incident : ransomware sur un poste du cabinetUn ransomware exécuté sur un poste utilisateur ayant accès au partage documentaire ne peut ni chiffrer les données de la Box (montage en lecture seule), ni altérer les sauvegardes (dépôt en ajout seul ou hors de portée), et la procédure d'incident permet une reprise sous 2 jours ouvrés avec une notification CNIL préparée dans les 72 heures.À tester
• Redémarrage à distance avec disque chiffré LUKS2 et TPM2Avec systemd-cryptenroll et un enrôlement TPM2 lié aux PCR du démarrage sécurisé, la Box redémarre sans saisie de mot de passe après un redémarrage ordinaire, refuse le déverrouillage automatique après une modification du chargeur ou de la désactivation de Secure Boot, et redevient déverrouillable avec la clé de récupération.À tester
• Scan de vulnérabilités des images Docker de la BoxLes images officielles de la pile retenue ne contiennent aucune vulnérabilité critique exploitable dans le contexte de la Box (services non exposés, réseau interne), et un scan mensuel automatisé avec Trivy plus un SBOM par image permettent de suivre les correctifs sans effort excessif.À tester
• Test de fuite de permissions du RAG (« l'avocat B ne voit jamais A »)Avec un filtre dossier_id calculé côté serveur et imposé par le moteur (RLS PostgreSQL ou JWT Qdrant), aucun chunk ni aucune réponse ne contient un canari hors de la portée de l'utilisateur, même lorsque la barrière applicative est désactivée.À tester
• Test de restauration complète sur machine viergeUne Box complète (système, configuration, base d'utilisateurs et permissions, index, journaux) peut être reconstruite sur une machine vierge en moins d'un jour ouvré à partir de la sauvegarde hors site chiffrée et des clés sous séquestre, sans intervention sur la Box d'origine.À tester
• Valider l'installation reproductibleUne personne compétente en administration Linux mais sans connaissance préalable du projet réinstalle la Box en moins d'une demi-journée à partir de la page Installation et du dépôt de configuration, et obtient le même résultat à la checklist de validation que l'installation initiale.À tester