L'IA permet à la fois d'améliorer l'efficacité et d'ouvrir une nouvelle brèche dans le système de santé américain.

Par Adrian Cheek, chercheur principal en cybercriminalité

L'ensemble du dispositif de sécurité d'un hôpital part du principe que l'attaquant doit parvenir à s'introduire dans le système : via une passerelle VPN non patchée, un compte administrateur piraté par force brute, ou par une autre méthode.

Les outils d'IA désormais intégrés aux flux de travail cliniques ne nécessitent rien de tout cela. Un attaquant n'a pas besoin de franchir le périmètre de sécurité. Il lui suffit que le modèle lise des données, et les hôpitaux fournissent constamment aux modèles des données à lire : lettres d'orientation, messages du portail patient, formulaires d'admission, examens d'imagerie, dossier patient lui-même.

Les grands modèles de langage ne disposent d'aucun moyen fiable de séparer les instructions des données. Une invite système, une question d'un clinicien et une lettre d'orientation arrivent comme un flux de texte unique et indifférencié, et le modèle ne possède aucun mécanisme architectural pour les traiter différemment. Glissez une instruction malveillante dans cette lettre d'orientation, et le modèle risque de la suivre comme il suivrait une demande médicale. Si un attaquant parvient à placer des mots là où le modèle les lira, il a une chance de contrôler son fonctionnement. Rien de tout cela n'est hypothétique. Début 2026, la FDA avait autorisé plus de 1 350 dispositifs médicaux dotés d'IACe chiffre représente environ le double de celui de 2022, et il ne tient pas compte des outils de génération de notes et de tri de messages qui ne sont jamais utilisés pour l'analyse des appareils. Ces outils sont déjà en place. Reste à savoir ce qu'un adversaire en fera.

Principales conclusions concernant l'IA dans le secteur de la santé

• L'injection rapide de cyberattaques contre l'IA médicale progresse à un rythme alarmant. Décembre 2025 Réseau JAMA ouvert L'étude a révélé que les attaques par injection réussissaient dans 94.4 % des cas sur 216 dialogues cliniques simulés, dont 91.7 % de succès dans les scénarios les plus dangereux.
• Les contrôles de sécurité existants sont structurellement aveugles à cette menace. La segmentation, la détection des terminaux et l'authentification multifacteur partent tous du principe que la menace provient d'un acteur non autorisé, et non d'une instruction malveillante intégrée à des données cliniques fiables.
• La réglementation encadre l'évolution des modèles d'IA, et non leur manipulabilité. Les procédures d'approbation et de contrôle des modifications de la FDA n'exigent pas de tests de robustesse face aux attaques adverses, ce qui rend vulnérables même les dispositifs réglementés.
• La chaîne d'approvisionnement en IA reproduit le risque de concentration. Les hôpitaux dépendent de modèles hébergés, d'API tierces et de pipelines de récupération qu'ils ne contrôlent pas, et les failles d'injection à l'échelle de l'entreprise révélées en 2025 montrent à quelle vitesse cette exposition s'aggrave.
• Il s'agit d'un problème de sécurité des patients, et non d'un élément de la liste des tâches informatiques à accomplir. Un modèle manipulé pour ignorer une allergie documentée ou recommander un médicament contre-indiqué entraîne un préjudice clinique lié à un problème de sécurité.

Le nombre avec lequel il vaut la peine de s'asseoir

En décembre 2025, JAMA Network Open a publié une étude contrôlée Des attaques par injection rapide ont été menées contre des modèles de langage médical commerciaux. Sur 216 dialogues simulés entre patients et modèles, les attaques ont réussi dans 94.4 % des cas. Même en se concentrant sur les scénarios les plus graves, où une mauvaise recommandation pouvait être fatale pour le patient, le taux de réussite atteignait 91.7 %. Parmi les résultats obtenus, les chercheurs ont notamment constaté une recommandation pour la thalidomide, un médicament classé dans la catégorie X de risque pendant la grossesse par la FDA.

Relisez cela. Les mesures de protection testées se sont avérées insuffisantes pour stopper efficacement les attaques, qui ont pourtant réussi dans la plupart des cas. 

Les auteurs n'ont pas nuancé leur propos dans la section discussion : les protections actuelles sont insuffisantes pour empêcher toute manipulation susceptible d'aboutir à des conseils potentiellement mortels. Les systèmes de défense existants passent à côté de cette faille car aucun ne s'attache à en comprendre le sens. La segmentation n'ouvre pas la note d'orientation. La détection des points de terminaison n'analyse pas l'invite. L'authentification multifacteur indique l'expéditeur du document, mais jamais ce que ce dernier demande au modèle d'exécuter une fois analysé. Le contenu, c'est le langage, et il arrive par les canaux de communication auxquels un hôpital fait confiance.

Pourquoi cette vulnérabilité existe-t-elle ?

Un modèle de langage (LLM) ne peut pas distinguer avec certitude une instruction à exécuter des données à traiter. L'invite du système, la question du clinicien et la lettre d'orientation à résumer parviennent au modèle comme un flux de texte unique et indifférencié. Si une instruction malveillante est dissimulée dans une note d'orientation, le modèle risque de la traiter comme une simple demande médicale.

Comment l'IA peut être manipulée dans le domaine de la santé

• Injection indirecte de prompt : L'instruction malveillante se dissimule dans un document que le modèle lira ultérieurement : une note d'orientation, un message sur un portail, ou du texte intégré à une image médicale où aucun examinateur humain ne pourrait le repérer. Le modèle intègre le document et exécute l'instruction comme si elle avait été saisie par un clinicien. Des chercheurs ont ainsi réussi à amener des modèles d'aide à la décision à ignorer une allergie documentée et à recommander un médicament pourtant contre-indiqué dans le dossier médical. Comme l'instruction est intégrée à des données cliniques légitimes, elle est ignorée par le système.
• Empoisonnement des données : Les modèles qui se réentraînent sur des données opérationnelles héritent de tout ce qui se retrouve dans l'ensemble d'entraînement, y compris tout ce qu'un attaquant a réussi à y introduire. Travaux publiés en 2026 Cela abaisse considérablement le seuil : une petite fraction de dossiers corrompus suffit à biaiser un modèle utilisé pour le diagnostic ou l’attribution des lits. Le secteur de la santé est particulièrement vulnérable à cet égard. Les mêmes règles de confidentialité qui masquent et dispersent les dossiers entre les institutions empêchent également de repérer les données altérées avant l’entraînement du modèle. La manipulation peut être invisible au sens propre du terme : des chercheurs en oncologie ont dissimulé des signaux sub-visuels dans les images, imperceptibles à l’œil nu du radiologue, mais parfaitement interprétables par le modèle.
• Exfiltration des données de santé protégées via le modèle : Un modèle ayant accès en lecture au dossier constitue une nouvelle méthode de vol de données, qui contourne totalement la base de données. En présentant la requête comme une simple vérification de la qualité, un chatbot destiné aux patients et connecté au dossier recense tous les patients correspondant à un critère clinique donné, coordonnées comprises. Aucun logiciel malveillant n'est impliqué, aucune intrusion n'est détectable, et la violation de données est signalée.
• La chaîne d'approvisionnement de l'IA : Les hôpitaux ne développent pas ces outils, ils les achètent : modèles hébergés, API tierces, pipelines d’extraction de données, intégrations ajoutées à des logiciels cliniques qui n’ont jamais été conçus pour les intégrer. C’est le problème de concentration de Change Healthcare, mais à un niveau supérieur. Deux failles de sécurité révélées en 2025 donnent un aperçu de ce qui nous attend :
  • EchoLeak Des données ont été extraites de Microsoft 365 Copilot sans aucun clic de l'utilisateur, par injection indirecte. 
  • CVE-2025-53773 a exploité une injection cachée dans l'entrée de l'assistant de code jusqu'à l'exécution de code à distance, un niveau de gravité de 9.6. 

Introduisez une faille de sécurité de ce type dans un modèle intégré aux systèmes cliniques et vous exposez les données des patients ainsi que toutes les informations accessibles au modèle. À noter également : nos analyses de menaces chez Flare révèlent la présence de centaines de milliers d'identifiants de chatbots dans des systèmes de sécurité. de fichiers cleptogicielsCe sont des identifiants fonctionnels pour les outils d'IA que le personnel utilise déjà ; aucune exploitation de faille n'est nécessaire.

La réglementation s'attaque au mauvais problème.

La FDA a mis en place une véritable structure autour des dispositifs d'IA. Cependant, elle a été conçue pour un problème différent. 

Le plan de contrôle des changements prédéterminé, désormais ancré dans Article 515C de la Loi sur les aliments, les médicaments et les cosmétiques Renforcées par les directives finales de 2025, ces directives permettent aux fabricants d'approuver au préalable les modifications autorisées pour un modèle après son homologation, évitant ainsi de devoir déposer une nouvelle demande pour chaque mise à jour. Les directives relatives au cycle de vie du produit, publiées entre 2025 et 2026, étendent la surveillance à l'ensemble de son cycle de vie, en accordant une attention particulière au suivi, aux biais et à la transparence. L'ensemble de ces directives porte sur l'évolution autorisée d'un modèle. Pratiquement aucune n'aborde la question de savoir si un modèle déployé peut être amené à nuire à un patient par des informations qu'il reçoit.

Deux failles en résultent, et un attaquant peut se cacher dans les deux :

• IA générative non réglementée : Une grande partie de l'IA générative actuellement utilisée dans les hôpitaux sert d'outil d'aide à la décision ou de système administratif et échappe donc à toute réglementation. Sa sécurité dépend de l'établissement acquéreur.
• Absence de norme de robustesse face aux adversaires : Même un dispositif d'IA réglementé ne fait l'objet d'aucune norme réelle pour résister aux attaques. Un modèle peut franchir tous les obstacles d'approbation et de contrôle des modifications et pourtant échouer 94 fois sur 100, comme l'ont fait les modèles du JAMA. 

Le classement OWASP des 10 meilleures pratiques pour les candidatures de LLM place l'injection rapide en tête et est devenu le document de référence incontournable. Il s'agit d'un guide, non d'une réglementation, et son application n'est pas garantie.

Ce que voit un adversaire demain matin

La logique de l'analyse de la surface d'attaque externe s'applique ici, à une exception près : la reconnaissance ne consiste pas en un scan de ports, mais en une question. L'attaquant observe la réaction du modèle lorsqu'il reçoit un document falsifié ou une requête d'apparence banale. Les techniques sont documentées. Les taux de réussite sont publiés dans des revues scientifiques à comité de lecture. Les outils sont déjà utilisés dans l'hôpital.

Que peuvent faire les équipes de sécurité des établissements de santé ?

La solution n'est pas mystérieuse, même si le travail est bien réel. Ces choses-là comptent plus que tout le reste.

Sachez ce que vous possédez et qui le contrôle.

Considérez l'IA comme une infrastructure clinique et non comme une simple fonctionnalité. Cela commence par un inventaire précis de vos outils : recenser tous les outils d'IA utilisés en clinique ou en administration, identifier les données auxquelles chacun peut accéder, celles qu'il est autorisé à écrire, connaître la provenance du modèle et vérifier s'il est soumis à une réglementation. Ensuite, les fournisseurs d'IA, les hébergeurs de modèles et les systèmes d'extraction de données doivent être intégrés au même programme de gestion des risques tiers et soumis aux mêmes accords de partenariat que ceux qui régissent déjà toutes les autres activités liées aux données de santé protégées. Exigez d'eux qu'ils démontrent leur expertise en matière de prévention des injections et des intoxications, et qu'ils indiquent la provenance de leurs données d'entraînement.

Limiter les possibilités du modèle

Limiter l'accès aux dossiers au strict minimum nécessaire. Toute possibilité de rédiger une note, une ordonnance ou un message doit être considérée comme une action privilégiée nécessitant une validation humaine. Un clinicien doit être tenu informé de toute modification relative au diagnostic ou au traitement. Le personnel utilisant ces outils doit comprendre qu'une recommandation d'IA peut être ajustée, au même titre que la vérification d'un appel clinique effectué par un remplaçant non familier avec le poste. Les contenus externes (documents d'orientation, messages et images du portail) peuvent être validés avant même d'être intégrés à un modèle capable de lire le dossier ou de générer une ordonnance.

Observez ce que le modèle lit et émet

Consignez les entrées et les sorties. Configurez des alertes pour les requêtes massives sur les données patient et pour toute sortie contredisant une allergie ou une contre-indication documentée. Intégrez les identifiants d'IA à votre système de détection de vol d'informations et de surveillance des identifiants (en place ou en cours d'implémentation) et mettez en place une authentification multifacteur (MFA) résistante au phishing. Lors de votre prochain exercice de simulation, simulez un scénario d'IA : une sortie d'aide à la décision manipulée ou une fuite de données de santé protégées (DSP) via un modèle. Définissez la procédure d'escalade avec la direction clinique avant le jour où elle sera nécessaire.

Pourquoi cela pose un problème de sécurité des patients

Le cadre qui permet aux cliniciens, aux dirigeants et aux équipes de sécurité d'avancer dans la même direction est celui qui a déjà fait ses preuves sur les périphériques exposés : il ne s'agit pas d'un élément à rattraper dans le backlog informatique. 

Un outil d'aide à la décision dont l'utilisation est justifiée par une alerte d'allergie constitue un incident de sécurité des patients. Il en va de même pour un modèle de diagnostic subtilement faussé par des données d'entraînement erronées, ou pour un chatbot qui lit une liste de patients à un inconnu. Chaque situation présente un risque pour la sécurité et des conséquences cliniques. Comparez le coût de la sécurisation d'un modèle et de l'enregistrement de ses lectures au coût d'une erreur de dosage ou de l'envoi d'une lettre d'information à tous les membres du panel, et la question budgétaire se résout d'elle-même.

Le secteur a passé trois ans à apprendre que son La porte d'entrée est accessible au public via les données de scan, à la portée de tous.Voici la porte suivante. Elle s'ouvre à quiconque la demande poliment, et la plupart des hôpitaux n'ont pas vérifié si elle est verrouillée. Ceux qui franchiront cette étape seront ceux qui cesseront de considérer l'IA comme une simple amélioration de la productivité et commenceront à la traiter comme une infrastructure clinique, car c'est bien de cela qu'il s'agit, et ses défaillances ont des conséquences directes sur les patients.