Des chercheurs de Microsoft ont mis en évidence la possibilité de modifier moins de dix neurones d'un grand modèle de langage pour y dissimuler une porte dérobée capable de détourner le comportement d'un agent IA.

Baptisée Lazarus, cette méthode annonce une nouvelle catégorie de menaces qui pourrait remettre en question notre manière de sécuriser les systèmes d'intelligence artificielle.

Contrairement aux attaques classiques qui nécessitent de réentraîner un modèle ou de modifier son architecture, Lazarus exploite des neurones rarement activés présents dans les LLM. Les chercheurs ont démontré qu'il était possible de reprogrammer certains de ces neurones dormants pour qu'ils reconnaissent un déclencheur particulier. Celui-ci peut être une information parfaitement anodine, comme une date, un mot ou un contexte spécifique.

Une fois le déclencheur détecté, le neurone modifié force le modèle à produire un élément de sortie prédéfini. En combinant plusieurs neurones compromis, un attaquant peut construire une séquence d'instructions malveillantes progressivement.

Dans leur démonstration, les chercheurs ont notamment conçu un agent qui attend le passage à l'année 2027 avant de télécharger et d'exécuter un code fourni par un attaquant. Jusqu'à cet instant, le modèle fonctionne normalement.

Le danger est là, une IA compromise peut continuer à passer les évaluations de sécurité habituelles sans éveiller le moindre soupçon.

Le problème prend une autre dimension avec les agents autonomes. Contrairement à un chatbot, ces systèmes disposent parfois d'un accès à des terminaux, des fichiers, des dépôts de code ou des outils externes. Une backdoor pourrait donc leur faire exécuter des commandes malveillantes, dérober des identifiants ou supprimer des données, en utilisant les autorisations qui leur ont déjà été accordées.

Autre élément intéressant de cette recherche, la technique ne concerne pas uniquement les modèles open source accessibles publiquement. Les modèles développés en interne par les entreprises sont également exposés. Il suffit potentiellement de compromettre un compte, une chaîne de développement ou un espace de stockage contenant les poids du modèle pour introduire une modification invisible.

De mon point de vue, cette découverte révèle surtout un angle mort dans notre approche actuelle de la cybersécurité. Nous avons longtemps considéré qu'il suffisait de contrôler le code, les dépendances et les fichiers exécutés pour garantir l'intégrité d'un système. Avec Lazarus, les poids mêmes du modèle deviennent une surface d'attaque.

Microsoft recommande donc plusieurs niveaux de protection : vérifier la provenance des modèles, comparer leurs poids avec des versions originales de confiance, limiter les permissions accordées aux agents et soumettre les opérations sensibles à une validation humaine. L'entreprise travaille également sur des mécanismes de détection des altérations et des signatures cryptographiques permettant de vérifier l'intégrité des modèles.

Un détail mérite également d'être souligné, les chercheurs indiquent que Claude Code, utilisant le modèle Opus 4.5, a découvert de manière autonome une grande partie de la technique pendant leurs travaux. Une illustration intéressante du potentiel de l'IA comme outil de recherche en cybersécurité, mais aussi de la complexité croissante de ces interactions.

À mesure que les agents gagnent en autonomie et en accès aux systèmes informatiques, la vérification de leur intégrité doit devenir aussi importante que le contrôle de leurs permissions.