Les assistants, RAG et agents créent une nouvelle surface d'attaque. Apprends à choisir ta spécialité, construire une offre d'audit crédible et décrocher tes premières missions en sécurité IA.
Tu ouvres l’assistant interne d’un client. Il résume les contrats, interroge le CRM et peut créer un avoir. Puis tu demandes quels outils il peut appeler et si une instruction cachée dans un PDF peut déclencher une action. La salle se tait.
C’est là que commence le métier de consultant en sécurité IA freelance. Les entreprises déploient des assistants, des RAG et des agents plus vite qu’elles ne les sécurisent. D’après les Tech Trends 2026 de Malt, la demande en agents IA a été multipliée par 60.
Que tu viennes du développement, de l’IA ou de la cybersécurité, ce guide te montre comment choisir ta spécialité, vendre des missions auditables et trouver tes premiers clients.
La sécurité d’un agent ne se résume pas au modèle. Elle couvre tout le chemin entre une entrée non fiable, les données consultées, la décision produite et l’action exécutée.
La sécurité IA protège un système qui utilise un modèle contre la divulgation, l’altération, le détournement et l’indisponibilité.
Elle se distingue de la cybersécurité classique, qui teste l’application et les accès face aux attaques connues sans couvrir les injections indirectes ni les détournements d’agent. Elle se distingue aussi de l’audit AI Act, qui étudie rôles, obligations et preuves réglementaires sans test offensif. L’article 15 de l’AI Act exige robustesse et cybersécurité pour les systèmes à haut risque : tes tests alimentent cette conformité sans remplacer l’analyse juridique. Le guide sur l’AI Act pour les freelances détaille cette partie.
Même prudence avec le mot « red teaming » : un scan automatique de cent prompts produit des signaux, pas une red team. Tu dois relier chaque essai à un actif, une menace, un impact et une correction.
Commence par les revues d’architecture, la sécurité des API, les secrets et les permissions d’outils. Ajoute les mécanismes propres aux LLM : séparation des instructions et des données, validation des sorties, injection indirecte.
Ton avantage porte sur le threat modeling et la preuve. Travaille le RAG, les architectures agentiques et les limites probabilistes des modèles : le même prompt peut produire plusieurs réponses. Le guide pour devenir consultant cybersécurité freelance couvre le positionnement généraliste.
Tu comprends les embeddings et le retrieval. Renforce la sécurité applicative, IAM, OAuth et la gestion des secrets : un RAG peut avoir une excellente précision tout en laissant un utilisateur récupérer des documents auxquels il n’a pas droit. Le métier de consultant IA freelance reste plus large.
L’OWASP Top 10 for LLM Applications 2025 constitue la liste de départ. À toi de traduire ses catégories dans l’architecture réelle du client.
L’injection directe vient d’un utilisateur qui demande au modèle d’ignorer ses instructions. L’injection indirecte se cache dans une page web, un email, un document ou une réponse d’outil ajoutés au contexte. Un filtre de mots-clés ne suffit pas : tu testes la séparation des contenus non fiables et les contrôles d’accès appliqués hors du modèle.
Les données fuient par la réponse, les journaux, le cache, un appel d’outil ou un fournisseur externe. Côté RAG, un attaquant peut introduire un document hostile dans la base ou retrouver des fragments appartenant à un autre service. Teste l’ingestion, la provenance, la séparation des tenants et les autorisations appliquées à la recherche.
Un agent chargé de lire des emails ne devrait pas obtenir automatiquement le droit d’en envoyer. MCP n’accorde aucune confiance automatique au serveur ni à la réponse d’un outil. Teste les scopes OAuth, l’isolation entre serveurs et les changements de définition après approbation.
La mémoire mérite un test distinct : un résultat d’outil peut y inscrire une instruction hostile qui agira plusieurs sessions plus tard, face à un autre utilisateur. Injecte des marqueurs inoffensifs, redémarre la session, change de rôle et observe s’ils influencent encore les appels d’outils.
Plus un agent peut agir, moins tu dois compter sur son obéissance. Les permissions et validations doivent vivre dans le système qui exécute l’action.
« Vérifier avant mise en production que l’assistant support ne peut lire que les tickets de son tenant » répond à un risque identifiable.
| Mission | Périmètre utile | Livrables |
|---|---|---|
| Audit RAG | ingestion, retrieval, permissions, citations | jeu de tests, preuves de fuite, remédiations |
| Red teaming LLM | objectifs d’abus convenus, interfaces exposées | journal de campagne, résultats reproductibles |
| Test d’un agent ou revue MCP | outils, mémoire, scopes, validations | matrice outil-permission, abus de permissions |
Ne promets jamais qu’un système est « sécurisé ». Promets un travail borné : une liste de scénarios, une version, un environnement, une période. Après plus de treize ans de missions IT, j’ai appris qu’un périmètre explicite protège autant la qualité du travail que la relation avec le client.
Définis tes critères de réussite avant le test. Par exemple : aucune récupération inter-tenant sur 40 scénarios documentés, confirmation externe requise pour toute action destructive, correction des constats critiques avant retest.
Fige ce qui peut l’être : version du modèle, paramètres d’échantillonnage, prompt système, corpus, outils, comptes et environnement. Pour chaque scénario, conserve l’entrée, le contexte récupéré, les appels d’outils, la sortie et la preuve de l’impact.
Mesure un résultat observable, comme une lecture interdite ou une action non autorisée, plutôt que la présence d’un mot dans la réponse. Le profil GenAI du NIST rappelle qu’un résultat de red team demande une analyse supplémentaire avant toute décision.
Un taux d’échec n’a de sens qu’avec un jeu de tests versionné, un critère de succès explicite et les conditions exactes d’exécution.
En septembre 2026, le baromètre Malt des experts cybersécurité affiche un TJM moyen de 720 € pour les profils expérimentés, 573 € pour 3 à 7 ans d’expérience et 799 € au-delà de 15 ans. Ce sont des repères cyber généralistes, à ajuster selon ta preuve d’expertise et la criticité.
| Positionnement | Périmètre typique | Repère prudent HT |
|---|---|---|
| Première spécialisation, expérience dev, IA ou cyber solide | revue limitée, un assistant, environnement de test | 550 à 750 €/jour |
| Consultant confirmé sur les systèmes LLM | audit RAG ou agent, preuves et atelier | 750 à 1 000 €/jour |
| Expert sécurité offensive et architectures IA sensibles | red team complexe, plusieurs outils ou tenants | 1 000 à 1 300 €/jour |
Dix années de pentest ne justifient pas le haut de la grille sans cas d’étude sur RAG ou agents.
Revue flash d’un assistant, 2 jours, 1 200 à 1 800 € HT. Une interface, un modèle, une source documentaire. Tu livres dix à vingt scénarios et les constats prioritaires.
Audit RAG ou agent, 5 jours, 3 750 à 5 500 € HT. Cadrage, tests manuels et scriptés, preuves, rapport, atelier de remédiation et retest limité. À 850 € par jour, l’audit revient à 4 250 € HT.
Red team ciblée, 10 à 15 jours, 9 000 à 18 000 € HT. Plusieurs objectifs d’attaque, chaînes d’exploitation et restitution aux dirigeants.
Un forfait fonctionne seulement avec des hypothèses écrites : deux agents ou cinquante outils MCP de plus, et le périmètre change. L’article sur la façon de facturer une prestation réalisée avec l’IA t’aide à choisir entre TJM et forfait.
Le nombre de prompts n’est pas une unité de valeur. Le périmètre se mesure en systèmes, frontières de confiance, objectifs d’attaque et preuves attendues.
Avant de prospecter, monte un laboratoire local : un petit modèle ou une API isolée, une base vectorielle, plusieurs rôles et un outil réversible. Ajoute volontairement des défauts, puis documente l’attaque et sa correction. Ce lab devient ton portfolio. Le guide de l’ANSSI sur la sécurité des systèmes d’IA générative sert de base défensive pour comparer tes remédiations.
Éditeurs SaaS qui ajoutent un copilote, agences IA qui livrent des agents, DSI qui qualifient des prototypes métier, startups face à un questionnaire de sécurité grand compte. N’envoie pas « je fais du red teaming IA ». Pars d’un déclencheur, en quatre phrases : système observé, risque plausible, périmètre court, livrable.
Exemple : « Votre assistant accède désormais aux espaces documentaires de plusieurs équipes. Je réalise une revue de cinq jours centrée sur les contrôles d’accès, l’injection indirecte et la traçabilité des sources. Vous obtenez des preuves reproductibles, un plan de correction priorisé et un retest. »
Une autorisation écrite nomme le commanditaire habilité, les cibles, les dates, les techniques permises et les contacts d’urgence. Ton ordre de mission précise au minimum :
Le guide NIS2 pour freelances approfondit les clauses cyber que les clients reportent sur leurs prestataires.
Sans autorisation écrite et périmètre explicite, tu ne testes pas. Une bonne intention ne protège ni le client, ni ses fournisseurs, ni ton activité.
Tu n’as pas besoin de tout savoir sur les modèles. Tu dois savoir où finit ta compétence, tester ce que tu annonces et rendre chaque conclusion vérifiable.
Il n'existe pas de certification unique qui prouve la maîtrise d'un audit LLM. Choisis une certification reconnue correspondant à ton manque principal (sécurité applicative, pentest, cloud, ISO 27001 ou management de l'IA) et complète-la par un lab public, qui démontre souvent mieux ta spécialisation.
Oui. Tu peux auditer l'application par son interface et ses API, le RAG, les permissions, les outils et les journaux. Signale la limite dans le rapport : sans accès au prompt système ou aux composants internes, certains scénarios restent hors périmètre.
Un audit photographie une version donnée. Le client transforme les scénarios confirmés en tests de non-régression et surveille les appels d'outils inhabituels, les changements de corpus ou de serveur MCP. Propose un nouvel audit à chaque changement significatif : nouvel outil, nouveau modèle, nouvelle source RAG ou incident.
13 septembre 2026 · 8 min
22 juin 2026 · 8 min
1 juin 2026 · 8 min
