HisnLabs a mis en ligne sur son site une démo de Guardrino-t7 Open dans laquelle le classifieur tourne dans le navigateur du visiteur [1]. Le modèle lui-même, une version antérieure et remplacée du classifieur de Guardrino, est public sur Hugging Face sous licence Apache-2.0 [2]. L’entreprise indique aussi qu’une sixième version de ses modèles internes est en cours d’entraînement et qu’elle n’en a pas encore de résultats [3].
Contexte
L’injection de prompt est classée au premier rang, LLM01, du Top 10 OWASP des applications LLM, édition 2025. L’OWASP la décrit comme des prompts d’utilisateur qui modifient le comportement ou la sortie d’un modèle de manière imprévue, et note qu’elle peut aussi arriver par des contenus externes comme des sites web ou des fichiers [4]. Guardrino-t7 Open note un seul message pour repérer l’injection de prompt et les tentatives de jailbreak en anglais, en arabe et en arabizi, c’est-à-dire l’arabe tapé en lettres latines et en chiffres [2].
Ce que décrit HisnLabs
Selon la page de la démo, le modèle et son tokenizer se téléchargent une fois depuis le serveur de HisnLabs, environ 118 Mo pour le fichier du modèle, puis restent dans le navigateur. Le modèle tourne en WebAssembly grâce à onnxruntime-web, et le texte tapé dans la page n’est envoyé nulle part [1]. Chaque fichier téléchargé est vérifié par rapport à sa somme de contrôle publiée avant usage, et un mode avancé donne accès au seuil, à un prompt système, à une politique simple et à des vérifications par lot [3].
La fiche du modèle donne des résultats avec des intervalles à 95 sur 100 calculés par famille, afin que les copies et traductions d’une même attaque ne comptent pas comme des tests indépendants. Au point où environ 1 message de test inoffensif sur 100 est signalé, la fiche indique 44,8 pour cent des attaques en anglais repérées (41,9 à 47,9), 69,2 pour cent en écriture arabe et 29,5 pour cent en arabizi écrit naturellement (14,0 à 44,9), ce dernier chiffre reposant sur 71 attaques [2].
Dans un article qui l’accompagne, HisnLabs décrit des problèmes trouvés lors de sa propre revue. Son rapport interne sur une cinquième version exagérait le gain, et ses modèles ne lisent que les 256 premiers tokens d’un message, si bien qu’une attaque placée à la fin d’un long texte peut ne pas être lue. La démo lit désormais les longs messages en fenêtres qui se chevauchent par défaut et l’indique sous son verdict. La version 6 s’entraîne sur davantage d’attaques issues de collections publiques de red teaming dont la licence autorise l’entraînement commercial, davantage d’arabe inoffensif de plusieurs dialectes, des attaques cachées dans des textes plus longs et des sources mises de côté pour les tests [3].
Conséquences pour les organisations
Les équipes qui exploitent ou prévoient des assistants IA pour des utilisateurs arabophones peuvent se servir de la démo pour voir comment un classifieur ouvert traite leurs propres exemples de messages, dialectes et arabizi compris, sans envoyer ces messages à un serveur [1]. La démo montre un modèle antérieur aux faiblesses documentées ; ce n’est pas Guardrino, qui reste en développement et n’est accessible que par un programme pilote [5].
Recommandations
- Testez tout garde-fou sur vos propres messages courants en arabe, en arabizi et en anglais, et comptez les messages bloqués à tort aussi soigneusement que les attaques manquées.
- Vérifiez comment un garde-fou traite les longs documents et les textes collés, pas seulement les messages courts.
- Lisez les limites de la fiche du modèle avant de vous appuyer sur un modèle ouvert, et ne comptez pas sur lui seul.
- Les entreprises qui veulent essayer Guardrino sur leur propre trafic peuvent demander une place dans le programme pilote sur la page produit.
Lien avec FireAI
FireAI et Guardrino agissent à des niveaux différents. FireAI est un pare-feu réseau pour un Mac : il reconnaît des agents IA comme Claude Code et Cursor, apprend où chacun se connecte habituellement et signale une nouvelle destination à l’utilisateur, sans lire le contenu du trafic [6]. Il ne lit pas les prompts et ne détecte pas l’injection de prompt dans un texte. Guardrino-t7 Open et Guardrino travaillent sur le texte des messages eux-mêmes.
Limites
Les chiffres ci-dessus viennent de la fiche de modèle de HisnLabs et n’ont pas été reproduits de façon indépendante. La plupart des données de test sont traduites, écrites par des modèles de langage ou converties par des règles. Le modèle ouvert lit un message à la fois, n’est pas un modèle de sécurité du contenu et n’a été entraîné ni sur le français ni sur aucune autre langue que l’arabe et l’anglais. Il n’existe encore aucun résultat pour la version 6 [2] [3].
Les entreprises intéressées par le programme pilote peuvent demander un accès anticipé à Guardrino, par HisnLabs. Les utilisateurs de Mac peuvent essayer FireAI, par HisnLabs gratuitement pendant 17 jours.