Détecteur d'injection de prompt
Une page web peut contenir des instructions invisibles pour un humain mais lues par les assistants IA qui la résument ou la citent. Vérifiez une page ou collez un texte.
Gratuit, sans inscription. Le texte collé est analysé puis oublié : il n'est jamais enregistré.
Ce que le détecteur recherche
Contenu masqué
Texte caché en CSS (display:none, taille 0, hors écran…), attribut hidden, aria-hidden, commentaires HTML, attributs alt et title, balises meta.
Formulations d'instruction
Phrases typiques adressées à une IA, en français et en anglais : « ignore les instructions précédentes », « instruction pour le LLM », « ne le dis pas à l'utilisateur »…
Caractères invisibles
Bloc Unicode « Tags » (ASCII smuggling), décodé et affiché ; caractères de largeur nulle ; caractères de contrôle de direction.
Comment lire le résultat
- Critique : une instruction destinée à une IA est placée dans un contenu caché. Ce n'est presque jamais légitime ; si c'est votre site, vérifiez qu'il n'a pas été piraté.
- Élevé : caractères invisibles suspects, ou instruction trouvée dans un texte que vous comptez donner à une IA.
- À vérifier : une formulation d'instruction est visible sur la page. C'est souvent légitime, par exemple un article qui explique l'injection de prompt.
- Info : élément courant et généralement légitime, signalé pour information.
Le détecteur repose sur des règles explicites, pas sur une IA : il est rapide et prévisible, mais il ne voit pas tout. Une injection reformulée habilement peut lui échapper ; un texte qui parle d'injection peut le déclencher. Pour un agent ou un RAG en production, combinez-le avec les protections décrites dans nos guides de sécurité.
Développeur ? Le détecteur est disponible en API JSON gratuite.