« Lazarus » : piéger un modèle d'IA avec moins de 10 neurones
D'après Microsoft Research, billet « Lazarus : Reprogramming Dormant Neurons to Backdoor AI Agents » et Numerama (relais), relayé par Numerama IA
Image générée par IA (DALL-E), MEMORA solutions
Rédigé à partir de la source originale; chaque fait est vérifié contre le texte source.
À retenir
- La porte dérobée reprogramme « moins de 10 neurones dormants » d'un modèle. Il passe les évaluations de sécurité standard et se comporte normalement, jusqu'à ce qu'un déclencheur caché apparaisse.
- Le déclencheur peut être anodin, comme un changement de date : au passage à 2027, l'agent, en pleine tâche ordinaire, émet une commande qui télécharge et exécute le code d'un attaquant.
- L'attaque n'exige aucun réentraînement, seulement de la puissance d'inférence : selon le chercheur, une machine capable de faire tourner un modèle peut aussi le piéger.
- Ce n'est pas un procès des modèles à poids ouverts : l'attaque ne requiert qu'un accès en écriture aux poids, donc un modèle développé en interne est tout aussi exposé. Ce qui compte, c'est l'intégrité et la provenance des poids.
- Microsoft note que c'est l'agent Claude Code (avec Opus 4.5) qui a découvert l'essentiel de la technique presque seul, au départ d'une simple expérience.
Pourquoi ça compte
Lazarus vise les agents d'IA branchés à des outils puissants comme un terminal ou des fichiers, là où la menace est, selon Microsoft, la plus sérieuse. Un tel modèle peut être piégé après coup, sans trace dans les tests habituels, puis se réveiller à un moment choisi pour exécuter du code hostile avec les accès qu'on lui a confiés. La parade n'est pas un nouveau produit, mais une hygiène déjà connue : savoir d'où vient un modèle, vérifier que ses poids n'ont pas été modifiés, limiter ses permissions et surveiller ses actions.
Chiffre-clé
Moins de 10 : le nombre de neurones dormants qu'il suffit de reprogrammer, sans aucun réentraînement, pour poser une porte dérobée dans un modèle d'IA, selon Microsoft Research.
Citation
« A triggered model could quietly download and run attacker code, steal secrets, or execute destructive commands while still passing standard safety evaluations. » Microsoft Research, billet « Lazarus »
Ce que ça change au Québec
🇨🇦 Pour une organisation d'ici qui héberge elle-même un modèle à poids ouverts (une approche dite d'« IA souveraine »), la leçon est concrète : un modèle téléchargé reste du logiciel. Avant de le brancher à un terminal ou à des données sensibles, mieux vaut vérifier la provenance de ses poids, les comparer au modèle de base déclaré, limiter ce que l'agent peut faire et surveiller ses actions.
Action concrète
Si tu déploies un modèle d'IA à poids ouverts (en local, en « souverain », ou branché à des outils), traite ses poids comme du code. Note d'où vient le modèle et qui l'édite, compare-le au modèle de base déclaré quand c'est possible, donne à l'agent le moins de permissions possible, fais relire les actions à conséquence avant leur exécution, et considère un audit comme un indice, jamais une garantie.
Repères datés
- Au départ (mars) - Un chercheur demande à Claude Code (Opus 4.5) de piéger un modèle sans entraînement. Le billet résume le résultat : « And it did. »
- 10 novembre 2026 - Publication du billet de recherche « Lazarus » par Microsoft Research.
- Exemple : passage à 2027 - Déclencheur illustratif cité par le chercheur : au passage de minuit, l'agent émet une commande hostile.
Fondée sur la source originale
Sources
- Microsoft Research, billet « Lazarus : Reprogramming Dormant Neurons to Backdoor AI Agents »
- Numerama (relais)
- Relais média : Numerama IA →
🔧 Outils mentionnés