Injection de prompt et MCP : cas des comptes Ads

Brancher Claude à un compte Google Ads ou Meta Ads revient à lui faire lire du texte que l'on n'a pas écrit. Cet article reprend ce que la documentation d'Anthropic dit de l'injection de prompt et des serveurs MCP, relue le 19 octobre 2026, puis montre comment poser des règles de permission outil par outil. Les passages introduits par « à notre avis » sont nos lectures : les sources ne les affirment pas. Pour le filtrage par script, voir notre guide des hooks de Claude Code.

Ce que la documentation écrit

La page Sécurité de Claude Code définit l'injection de prompt comme une technique par laquelle un attaquant tente de passer outre les instructions d'un assistant, ou de les manipuler, en insérant du texte malveillant. La page sur MCP avertit de vérifier que l'on fait confiance à chaque serveur avant de le connecter, et précise que les serveurs qui récupèrent du contenu externe peuvent exposer à un risque d'injection de prompt.

Sur le périmètre, la page Sécurité encourage à écrire ses propres serveurs MCP ou à utiliser ceux de fournisseurs de confiance. Anthropic y indique examiner les connecteurs au regard de ses critères avant de les ajouter à son annuaire, mais ne pas auditer la sécurité des serveurs MCP ni les gérer.

Le Centre d'aide de Claude, dans son article sur les connecteurs personnalisés, ajoute quatre points : des serveurs malveillants peuvent contenir des instructions cachées ; Claude dispose de protections intégrées qui tentent de bloquer ces attaques ; les développeurs d'un serveur peuvent modifier le comportement d'un outil sans prévenir ; il faut lire les demandes d'approbation et ne donner l'autorisation permanente qu'à un serveur et un outil assez sûrs pour tourner sans surveillance. La page Sécurité rappelle enfin qu'aucun système n'est totalement à l'abri de toutes les attaques.

Ce que Claude lit dans un compte publicitaire

Aucune des sources ne parle d'injection de prompt dans un compte publicitaire. À notre avis, la question se pose pourtant, parce qu'un compte contient du texte écrit par d'autres que vous : des termes de recherche saisis par des internautes, des noms de campagnes et des textes d'annonces rédigés par plusieurs personnes au fil des années, des noms de produits venus d'un flux. Claude lit ce texte comme n'importe quel autre résultat d'outil. Nous n'avons pas relevé de source qui décrive une attaque menée par ce chemin : le risque reste à cadrer, sans incident documenté à notre connaissance.

Le serveur MCP de Google Ads est en lecture seule d'après la page de Google. À notre avis, cela borne les dégâts d'une instruction détournée à ce que la session peut faire d'autre. Celui de Meta permet de créer des campagnes, des ensembles et des publicités en pause, et son outil ads_activate_entity fait passer une campagne, un ensemble ou une publicité en pause à l'état actif, ce que la page de référence décrit comme le démarrage de la dépense du budget. À notre avis, c'est l'outil à placer derrière une validation humaine.

Poser des règles par outil

Dans Claude Code, une règle de permission nomme un outil MCP sous la forme mcp__serveur__outil, et mcp__serveur__* désigne tous les outils d'un serveur. Les règles de refus et de demande acceptent des motifs avec joker. Les règles d'autorisation n'en acceptent qu'après le préfixe littéral mcp__serveur__. Une règle mcp__ qui contient des parenthèses est ignorée au chargement du fichier de réglages. Exemple de lecture seule pour Google Ads, avec un refus explicite de l'outil d'activation de Meta (le nom du serveur est celui que vous avez choisi à l'installation) :

{
  "permissions": {
    "allow": [
      "mcp__google-ads__list_accessible_customers",
      "mcp__google-ads__search",
      "mcp__google-ads__get_resource_metadata"
    ],
    "deny": [
      "mcp__meta-ads__ads_activate_entity"
    ]
  }
}

Les noms d'outils de Google viennent de la page de son serveur, celui de Meta de sa page de référence. Les autres outils de Meta, dont ceux qui créent des campagnes en pause, restent soumis au mode de permission de la session. À notre avis, on les met en règle « ask » plutôt qu'en autorisation, pour qu'une personne voie chaque création.

Les sessions sans humain

La page sur l'exécution non interactive de Claude Code décrit deux points qui concernent directement un script planifié. D'abord, une session claude -p n'affiche ni la boîte de confiance du dossier ni l'approbation par serveur. Sans l'option --bare, elle exécute les hooks de .claude/settings.json du projet et connecte les serveurs de son .mcp.json, même dans un dossier non approuvé. Ensuite, le mode dontAsk refuse tout appel qui demanderait une confirmation. S'exécutent en revanche les outils couverts par --allowedTools ou par une règle d'autorisation, et les actions qui ne demandent pas d'approbation en mode Manual, comme la lecture de fichiers dans les dossiers de travail et les commandes en lecture seule.

Avec --bare, Claude Code ne charge que les serveurs passés par --mcp-config et n'utilise pas la connexion à votre abonnement : il demande une clé d'API Anthropic dans ANTHROPIC_API_KEY. Une commande de lecture seule ressemble à ceci :

claude --bare -p "Liste les campagnes dont la dépense a baissé cette semaine" \
  --mcp-config ./mcp-lecture.json \
  --permission-mode dontAsk \
  --allowedTools "mcp__google-ads__search,mcp__google-ads__get_resource_metadata"

À notre avis, c'est la configuration que nous lancerions sans surveillance : le fichier mcp-lecture.json ne déclare que le serveur de lecture, et ce qui n'est pas listé et demanderait une confirmation est refusé. Notre guide du skill de reporting hebdomadaire montre où ce type de commande s'insère.

Ce que ces règles ne couvrent pas

• À notre avis, elles encadrent les actions de Claude sans filtrer le texte que renvoient les outils autorisés : un texte piégé lu par l'un d'eux reste dans la conversation.
• Elles ne couvrent que les outils nommés. À notre avis, une session qui garde aussi d'autres outils (commandes shell, accès réseau) reste exposée à ce que ces outils permettent. La page Sécurité indique que les commandes réseau comme curl et wget ne sont pas approuvées automatiquement par défaut, et que l'on peut les refuser avec permissions.deny.
• Elles ne remplacent pas la relecture : la page Sécurité demande de relire les commandes proposées et d'éviter d'envoyer du contenu non fiable directement à Claude.
• À notre avis, elles ne protègent pas d'un serveur dont le comportement change après coup. Le Centre d'aide recommande de surveiller les changements de comportement des outils.

Par où commencer

1. Listez les serveurs MCP branchés sur vos comptes clients, et pour chacun les outils qui écrivent.
2. Écrivez les règles d'autorisation en lecture seule, et mettez en refus ou en demande chaque outil qui écrit ou qui dépense.
3. Passez les tâches planifiées en --bare avec un fichier --mcp-config dédié, puis relisez le journal d'une première exécution avant de la laisser seule.

Questions fréquentes

Sources consultées le 19 octobre 2026

• Anthropic : Security (Claude Code, section « Protect against prompt injection » et « MCP security »)
• Anthropic : Connect Claude Code to tools via MCP
• Anthropic : Permissions (règles pour les outils MCP)
• Anthropic : Run Claude Code programmatically (option --bare, mode dontAsk, --allowedTools)
• Anthropic : Get started with custom connectors using remote MCP (Centre d'aide)
• Google : serveur MCP Google Ads
• Meta : outils de création et de gestion des publicités