Vous commencez votre vacation et la file d’attente des alertes contient déjà trois alertes liées à l’IA, accompagnées d’un score de triage généré par l’IA. À ce stade, votre mission consiste à établir rapidement une position initiale étayée pour chaque alerte. Cela implique de définir une classification provisoire, d’identifier les éléments de preuve minimaux à vérifier dans la télémétrie sous-jacente et d’énoncer clairement les points d’incertitude. Ce cours considère l’IA comme une source d’information pour l’analyste, et non comme une autorité décisionnelle ; vous restez responsable de la décision finale concernant l’alerte.
Pour bien appréhender ce cours, dites-vous que vous allez élaborer un modèle mental reproductible pour traiter les incidents liés aux systèmes d’IA. Ce modèle part d’une catégorie de risque identifiée, la relie à la composante du système susceptible d’être défaillante, et s’achève sur les éléments de preuve permettant de confirmer ou d’écarter cette hypothèse. Nous avancerons progressivement, car la cohérence de cette architecture est cruciale pour la suite du cours, notamment lorsque la file d’attente est saturée d’alertes.
Nous commencerons par nous exercer au triage initial de chaque alerte. Concentrez-vous sur les éléments à vérifier en priorité et sur les preuves nécessaires avant d’accepter l’orientation suggérée par l’IA. Ensuite, nous ferons correspondre ces choix aux catégories du classement OWASP Top 10 for LLM Applications 2026, afin que nos étiquettes aient la même signification pour toute l’équipe. Procédons ensemble à cette première série de décisions de triage.
Le OWASP Top 10 for LLM Applications 2026 est une liste, élaborée par la communauté, des dix catégories de risques les plus critiques pour les applications utilisant des grands modèles de langage (LLM). Cette liste est précieuse pour la réponse aux incidents, car elle fournit une terminologie stable pour désigner les problèmes rencontrés, même lorsque les symptômes diffèrent. Lorsqu’un ticket mentionne LLM02 ou LLM06, chacun doit immédiatement visualiser le même type de défaillance et savoir quels éléments de preuve rechercher.
Voici les dix catégories que nous utiliserons tout au long de ce cours, avec leur numérotation et leur intitulé exacts.
Ce cours aborde ces dix catégories sous l’angle de la réponse aux incidents. Vous apprendrez à identifier la catégorie probable lors du triage, à déterminer quelles données de télémétrie permettent généralement de répondre aux questions clés, et à comprendre à quoi ressemblent habituellement les mesures de confinement et de remédiation lorsque le système intègre un LLM ainsi que des composants annexes tels que la récupération d’informations (retrieval), les outils et la mémoire. Ensuite, nous associerons chaque catégorie aux étapes clés de la réponse aux incidents où la production de preuves est requise. Utilisez le schéma pour relier chaque catégorie au flux de travail correspondant.