if ( !emtpy($headline_subheadline ) ) : ?>
Les chercheurs de Microsoft affirment qu’une poignée de neurones réécrits peuvent permettre à un modèle de réussir tous les tests, puis de donner à un attaquant l’accès à l’agent. Repérer le changement dépend d’une chose qui manque à de nombreuses entreprises.
endif; ?>
Des chercheurs de Microsoft ont découvert que la réécriture de moins de 10 neurones rarement utilisés dans un modèle d’IA ouvert peut transformer n’importe quel agent intégré en une porte dérobée dormante qui exécute les commandes d’un attaquant au bon moment, sans aucune reconversion requise.
Des chercheurs de Microsoft Research et de Microsoft Red Team ont décrit la technique appelée Lazarus dans un document de recherche. Il modifie les neurones dormants dans la couche de rétroaction finale d’un modèle pour reconnaître un déclencheur et injecter des commandes contrôlées par l’attaquant dans la sortie du modèle. Un agent utilisant le modèle modifié peut ensuite exécuter ces commandes avec les autorisations dont il dispose.
« Le déclencheur peut être aussi banal qu’un changement de date, par exemple, une fois minuit passé en 2027, l’agent – au milieu d’une tâche ordinaire – émet une commande qui télécharge et exécute le code d’un attaquant », a écrit Dimitris Papailiopoulos, chercheur principal chez Microsoft, dans un article de blog décrivant la recherche. « L’agent l’exécute ensuite avec l’accès que vous lui avez donné. »
Microsoft Threat Intelligence, dans un article de blog séparé, a déclaré qu’il n’avait pas observé d’acteurs malveillants utilisant cette technique. Cependant, les chercheurs ont déclaré que les résultats soulignent la nécessité de vérifier l’intégrité des poids des modèles, y compris ceux appartenant à des modèles développés en interne.
Sept neurones ont suffi pour implanter la porte dérobée
L’équipe Microsoft Research a testé la méthode sur trois modèles à poids ouvert. Sur le Nemotron-Terminal-8B de Nvidia, les chercheurs ont démontré la technique permettant de modifier sept des plus de 12 000 neurones du modèle. Les modifications ont été apportées aux neurones dormants de la couche de rétroaction finale du modèle, leur permettant de reconnaître un déclencheur et de forcer des jetons spécifiques dans la sortie du modèle.
Les chercheurs ont testé l’approche en utilisant 23 trajectoires déclencheurs et non déclencheurs. Le modèle modifié a généré la charge utile malveillante dans au moins 98,8 % des scénarios de déclenchement retenus et ne s’est pas activé dans les scénarios de test bénins.
La technique a également fonctionné contre Qwen 3.6-27B et Gemma-4-31B-IT, ce qui suggère qu’elle ne se limite pas à un seul modèle, ont écrit les chercheurs dans le blog.
Le déclencheur ne doit pas nécessairement être une instruction malveillante. Selon Microsoft Research, il peut s’agir d’une chaîne ordinaire apparaissant n’importe où dans le contexte d’un agent.
Les chercheurs ont déclaré que Lazarus diffère de l’injection rapide car il modifie les poids sous-jacents du modèle plutôt que de tenter de manipuler son comportement à l’aide d’instructions fournies dans une invite.
Microsoft Research a déclaré que la technique ne nécessite aucune formation sur le modèle. Ses chercheurs l’ont décrit comme une attaque par calcul d’inférence, ce qui signifie qu’une machine disposant de suffisamment de mémoire pour exécuter un modèle dispose de suffisamment de ressources pour implanter la porte dérobée.
Cependant, l’attaque nécessite un accès en écriture au point de contrôle du modèle. Dans son article de recherche, Papailiopoulos a déclaré qu’un compte, un pipeline de développement ou un système de stockage compromis pourrait fournir l’accès nécessaire pour modifier les pondérations. « Ce qui compte, c’est le poids, l’intégrité et la provenance », a-t-il ajouté.
Les modèles modifiés peuvent réussir les évaluations
Les chercheurs de Microsoft ont déclaré que les modèles à porte dérobée pourraient réussir les évaluations standard et se comporter normalement jusqu’à ce que le déclencheur spécifié apparaisse.
Les chercheurs ont également testé si les agents d’IA pouvaient identifier des changements suspects dans les poids des modèles. Leurs méthodes de détection créées par des agents ont signalé 91,4 % des points de contrôle modifiés retenus, avec un taux de faux positifs de 9,7 %, bien qu’ils n’aient pas accès à un modèle de référence original.
Papailiopoulos a mis en garde contre le fait de considérer la numérisation automatisée comme une preuve qu’un modèle est sûr.
« Aucun scan ne peut prouver sans aucun doute qu’un modèle est sûr », a-t-il écrit.
Selon Papailiopoulos, une détection fiable nécessite de comparer les poids d’un modèle avec sa version originale non modifiée. Il a déclaré qu’il est donc important d’établir la provenance d’un modèle pour déterminer si ses poids ont été modifiés entre le développeur et le déploiement.
Pondérations du modèle d’audit recommandées
Dans l’avis de sécurité qui l’accompagne, Microsoft Threat Intelligence recommande d’auditer la pondération des modèles avant le déploiement et après chaque mise à jour. Ses conseils incluent la comparaison de chaque point de contrôle avec son modèle de base déclaré, la vérification des éditeurs et des hachages de fichiers et le rejet des modèles sans provenance vérifiable.
Microsoft recommande également de conserver les modèles approuvés dans des registres privés à accès contrôlé plutôt que de permettre aux agents et aux services d’inférence de télécharger les points de contrôle directement à partir de référentiels publics.
Pour limiter les conséquences d’un modèle compromis, Microsoft conseille aux organisations de restreindre les autorisations des agents, d’exécuter le code généré par les agents dans des environnements isolés, de contrôler les connexions réseau sortantes et d’exiger l’approbation humaine pour les actions à fort impact telles que l’exécution de commandes ou la modification des autorisations système.
Microsoft Research a déclaré qu’il travaillait avec des équipes internes de sécurité de l’IA pour transformer les techniques de détection de la recherche en un cadre d’équipe rouge. La société explore également l’analyse du poids assistée par l’IA et la signature de modèles cryptographiques avec une provenance vérifiable et des pistes d’audit inviolables. Selon le journal, l’idée centrale « a été découverte de manière autonome par Claude Code avec l’Opus 4.5 en février 2026 ».
