Le texte caché dans les PDF peut tromper les processeurs de documents IA

En novembre 2026, Tom Clancy a publié une analyse technique approfondie détaillant comment il a identifié des vulnérabilités de sécurité critiques dans un outil d'IA interne conçu pour traiter des documents financiers. L'article révèle que les méthodes standard d'analyse des PDF sont susceptibles d'être manipulées via du texte caché, des caractères invisibles et l'obfuscation de la mise en page, permettant aux acteurs malveillants d'injecter de fausses données que les systèmes automatisés lisent mais que les humains ne voient pas.

Ce qui s'est passé

Clancy avait pour mission de définir des protocoles d'assurance qualité pour une application interne qui lit les PDF des dépôts SEC et des relevés de compte. Alors que les tests de régression traditionnels garantissaient que l'analyseur traitait correctement les documents standards, ils ne tenaient pas compte de l'intention malveillante. Clancy a découvert qu'en intégrant du texte blanc sur fond blanc, ou en plaçant du texte hors de la zone de recadrage visible, il pouvait réussir à transmettre des chiffres financiers incorrects à l'agent IA sans altérer l'apparence visuelle du document pour les réviseurs humains.

La vulnérabilité allait au-delà de simples astuces de couleur. Clancy a démontré que le texte de hauteur nulle et les caractères fantastiquement hauts pouvaient également contourner l'inspection visuelle tout en restant lisibles par l'analyseur. Plus inquiétant encore, il a rédigé une note de bas de page faisant référence à une modification récente et inexistante des règles de la SEC, instruisant l'IA de signaler tous les nombres comme une valeur fixe spécifique. Cela a mis en évidence une double défaillance : le système manquait de garde-fous contre l'injection de prompts via le contenu du document, et l'équipe de développement ne disposait pas de ressources désignées pour faire face à ces risques émergents spécifiques à la sécurité de l'IA.

Pour atténuer ces menaces, Clancy a développé une suite de vérifications spécialisées qu'il appelle « judges » (juges). Plutôt que de s'appuyer sur une seule couche de sécurité monolithique, cette approche utilise plusieurs validateurs indépendants, chacun ciblant un vecteur d'attaque spécifique. Ce modèle de défense « fromage suisse » garantit que même si une vérification manque une manipulation sophistiquée, une autre est susceptible de la détecter. Les juges opèrent au stade de l'entrée, examinant la structure brute du PDF avant que toute donnée ne soit transmise au modèle de langage.

Détails clés

• Juge HiddenInk : Analyse les rendus de pixels pour détecter les marques légères ou la luminance à faible contraste qui ne correspondent pas à de l'encre sombre visible, capturant le texte blanc-sur-blanc dans les documents numériques et scannés.
• Juge Text Raster Divergence : Mappe les boîtes de caractères de la couche de texte vers des coordonnées de pixels pour vérifier que l'encre existe réellement là où le texte prétend se trouver, identifiant les éléments de texte hors page ou invisibles.
• Juge Unicode Obfuscation : Scanne la couche de texte à la recherche de caractères Unicode invisibles, tels que les espaces de largeur nulle ou les contrôles de format, et détecte les confusables de scripts mélangés, comme les caractères cyrilliques déguisés en lettres latines.
• Juge Accessibility Channel : Examine l'arbre de structure des PDF balisés pour le texte déclaré dans les champs d'accessibilité tels que /Alt ou /ActualText qui n'apparaît pas sur la page rendue, empêchant les instructions destinées uniquement aux lecteurs d'écran d'influencer l'IA.
• Juge Glyph Overlap : Vérifie la proximité géométrique suspecte entre différentes boîtes de caractères, identifiant les cas où un glyphe est dessiné par-dessus un autre pour altérer visuellement un chiffre tout en préservant la valeur originale de la couche de texte.
• Juge Non-Text Ink : Rendu la page deux fois, une fois normalement et une fois avec les objets non-textuels supprimés, pour différer les pixels à l'intérieur des boîtes de caractères et détecter les traits ou images qui altèrent visuellement les nombres.

Contexte

Les PDF sont des formats conteneurs complexes qui séparent la représentation visuelle d'un document de sa structure de données sous-jacente. Un PDF peut contenir une couche de texte utilisée pour la recherche et la copie, une couche visuelle pour le rendu et un arbre d'accessibilité pour les lecteurs d'écran. Ces couches ne s'alignent pas toujours parfaitement, créant des failles que les acteurs malveillants peuvent exploiter. Par exemple, un document peut afficher visuellement le nombre "100" tout en contenant le texte "1000000" dans sa couche de texte cachée ou ses balises d'accessibilité.

Les agents IA extraient généralement le texte de ces diverses couches pour comprendre le contenu du document. Si le processus d'extraction ne valide pas rigoureusement que le texte extrait correspond à la réalité visuelle, l'agent devient vulnérable à l'« injection de prompt » via le document lui-même. Cela se distingue de l'injection traditionnelle par entrée utilisateur, car la charge utile malveillante est intégrée dans un document professionnel apparemment légitime, ce qui la rend plus difficile à détecter sans logique d'analyse spécialisée.

Pourquoi c'est important

Pour les équipes exécutant des logiciels auto-hébergés qui traitent des documents sensibles, tels que des factures, des contrats ou des rapports financiers, cette vulnérabilité pose un risque significatif. Un attaquant pourrait modifier subtilement des chiffres clés dans un contrat ou une facture, sachant que l'IA traitera la valeur cachée tandis que l'approbateur humain ne verra que les données visuelles correctes. Cela compromet la fiabilité des flux de travail automatisés et peut entraîner des pertes financières ou des violations de conformité.

De plus, l'article met en évidence un fossé organisationnel courant : de nombreuses équipes adoptent des outils d'IA sans ajuster leur personnel ou leurs modèles de sécurité pour tenir compte des nouveaux vecteurs de menace. L'assurance qualité traditionnelle se concentre sur la correction fonctionnelle, et non sur la robustesse adversariale. Sans ressources dédiées pour tester la manipulation, les entreprises peuvent déployer des systèmes d'IA fonctionnellement corrects mais fragiles sur le plan de la sécurité, les exposant à des attaques sophistiquées d'ingénierie sociale intégrées dans les formats de fichiers.

Ce que vous pouvez faire

• Mettre en œuvre des vérifications de validation multicouches qui comparent le rendu visuel d'un document à ses couches de texte et d'accessibilité avant le traitement.
• Utiliser l'analyse basée sur les pixels pour détecter le texte caché ou à faible contraste qui peut ne pas être visible à l'œil nu mais est lisible par les analyseurs.
• Assainir les entrées Unicode en supprimant les caractères invisibles et en normalisant les scripts pour prévenir les attaques par caractères confusables.
• Vérifier que le texte trouvé dans les balises d'accessibilité ou les métadonnées apparaît réellement dans la portion visible du document.
• Traiter tous les documents téléchargés comme des entrées non fiables, quelle que soit leur source, et appliquer des règles d'analyse strictes pour extraire uniquement les données confirmées visuellement.
• Allouer des ressources QA spécifiques aux tests adversariaux, simulant des entrées malveillantes pour identifier et corriger les vulnérabilités dans les pipelines de traitement de documents.