Des chercheurs de Microsoft backdoorent un agent d’IA en modifiant moins de dix neurones, sans réentraînement

11 novembre 2026. Microsoft publie une recherche qui montre qu’on peut implanter une porte dérobée dans un modèle d’IA en éditant moins de dix neurones, sans réentraîner le modèle. Sept neurones. C’est ce qu’il a fallu sur un modèle de 8 milliards de paramètres pour qu’il exécute, au signal, une commande contrôlée par l’attaquant. 98,8 %. C’est le taux de déclenchement mesuré quand le mot-clé est présent — et zéro faux déclenchement sans lui. Pourquoi c’est important : la porte dérobée vit dans le fichier de poids du modèle, invisible à l’œil et quasi indétectable sans comparaison avec l’original, et elle s’exécute avec les privilèges de l’agent qui l’utilise.

La méthode Lazarus, ou l’art de réveiller des neurones dormants

Les chercheurs appellent leur méthode Lazarus. Elle cible les neurones rarement activés — ceux qui ne s’activent presque jamais et qui n’influencent pratiquement pas les réponses du modèle. L’idée est de les reprogrammer pour qu’ils ne s’activent que lorsqu’une chaîne déclencheuse apparaît, soit dans la requête de l’utilisateur, soit plus tard dans la sortie d’un outil.

Chaque neurone édité force un jeton de la commande dans la sortie du modèle. Une commande demande donc environ un neurone par jeton. Les nouveaux réglages sont calculés directement, puis affinés par quelques centaines de pas d’entraînement sur ces seuls neurones. Rien d’autre ne change — ni le fichier du modèle, ni le code qui l’exécute.

La condition est une seule : l’attaquant doit pouvoir modifier les poids du modèle. Cela englobe l’initié, l’attaquant qui a volé un compte ou accédé au pipeline de build, et quiconque publie un modèle modifié sur un hub public. Le modèle édité passe encore les tests ordinaires — les deux versions backdoorées d’un modèle Qwen conservaient l’essentiel de leurs scores mathématiques, et leur taux de réussite sur Terminal-Bench, un test de tâches d’agent, ne chutait que de 46,59 % à 42,05 %.

La démonstration qui fait froid dans le dos

Dans une démonstration publiée par un chercheur, un modèle Nemotron-Terminal-8B backdooré avec dix neurones édités est chargé de réparer un serveur Node.js. Il travaille normalement pendant trois tours. Quand le serveur renvoie une erreur de connexion, le modèle produit une commande qui télécharge et exécute un script distant. Le script s’exécute en root dans le conteneur de test.

Le point clé, souligné par les chercheurs : parce qu’une telle commande peut récupérer n’importe quel script, les dégâts dépendent de ce que l’agent a le droit de faire, pas de la taille de l’édition. Un agent qui a un accès d’écriture en production devient une arme ; un agent confiné dans un bac à sable reste contenu. La porte dérobée ne fait que recycler les privilèges qu’on a donnés à l’agent.

Sur Nemotron-Terminal-8B, l’équipe a édité et affiné sept neurones parmi les plus de 12 000 de la dernière couche feed-forward, en utilisant seulement 23 sessions d’exemple. Le modèle édité produisait la commande dans au moins 98,8 % des sessions contenant le déclencheur, et dans aucune des sessions sans déclencheur vérifiées. Avec la version affinée de l’édition, les taux sur Qwen3.6-27B et Gemma-4-31B-IT allaient de 51 % à 99,5 % selon la configuration. Le modèle Qwen n’utilisait que six neurones.

Ce que cela change pour la supply chain des modèles

Les portes dérobées au niveau des poids dans les modèles d’agent n’étaient pas inconnues. Le 6 octobre 2026, des chercheurs de ProjectDiscovery avaient déjà affiné un modèle Qwen ouvert pour qu’il réagisse à une phrase déclencheuse, et Codex CLI d’OpenAI avait alors exécuté un script qui envoyait de fausses identifiants vers un serveur contrôlé. Lazarus diffère sur un point essentiel : il édite quelques neurones directement, là où la démonstration précédente affinait le modèle sur des exemples empoisonnés. L’édition directe est plus discrète — elle ne touche qu’une poignée de vecteurs de poids, au lieu de modifier largement le modèle comme le ferait un fine-tune légitime.

C’est précisément ce qui rend la détection difficile. La détection fiable exige de comparer un checkpoint avec ses poids d’origine non modifiés. Un fine-tune ou une version quantifiée légitimes changent les poids largement ; des neurones édités changent quelques vecteurs de poids d’une grande quantité. Un détecteur entraîné sur des exemples de cette méthode a signalé 91,4 % des checkpoints édités, mais a aussi faussement signalé 9,7 % des checkpoints sains — sur un petit ensemble de test de 35 checkpoints édités et 31 sains.

Le plus troublant : demander à des modèles d’inspecter un checkpoint ne fonctionne pas. Claude Opus 5.5 a jugé sains 41 % des checkpoints édités, et GPT-6 Astra n’a pas tranché sur presque tous les checkpoints propres. La conclusion des chercheurs tient en une phrase : aucun scan ne peut prouver hors de doute qu’un modèle est sûr.

Ce que doivent faire les équipes qui déploient des agents

Microsoft publie des recommandations concrètes, et elles se résument à restreindre ce qu’un agent peut toucher et d’où viennent ses poids :

• Comparer chaque checkpoint à son modèle de base déclaré avant déploiement et après chaque mise à jour, et rejeter les modèles dont la base ne peut pas être vérifiée.
• Télécharger les checkpoints uniquement auprès de l’éditeur d’origine, vérifier les empreintes publiées, et traiter les fine-tunes tiers, les fusions, les versions quantifiées et les adaptateurs comme non fiables tant qu’ils n’ont pas passé un audit.
• Conserver les modèles approuvés dans un registre privé, et empêcher les agents de tirer des modèles directement des hubs publics.
• Donner à chaque agent le strict accès nécessaire, exécuter le code généré par les agents uniquement dans des bacs à sable isolés, et limiter les connexions réseau sortantes.
• Exiger une approbation humaine pour les actions à fort impact — exécuter des commandes ou envoyer des données hors du réseau.
• Ajouter un scan comportemental de porte dérobée en complément de la comparaison des poids.

Un détail mérite l’attention des RSSI : les chercheurs créditent Claude Code, exécutant le modèle Opus 4.5, pour avoir trouvé l’idée centrale. Autrement dit, les agents de codage rendent ce type d’attaque plus facile à construire — un argument de plus pour ne pas laisser un agent autonome toucher aux modèles qu’on déploie.

Verdict

Si vous déployez des modèles open-weight ou des agents d’IA en production, mettez en place une vérification des checkpoints contre leur base déclarée — et refusez tout modèle dont la provenance ne peut pas être prouvée — avant que vos agents n’exécutent la moindre action à impact. La menace n’est pas théorique : moins de dix neurones suffisent, et le modèle passe encore les benchmarks. Si vos agents ne tirent leurs modèles que d’un registre interne contrôlé et n’ont aucun accès d’écriture en production, le risque est maîtrisé — mais ajoutez quand même un scan comportemental, car le point faible n’est pas la détection, c’est la confiance qu’on accorde à un fichier de poids non vérifié.

Références

• The Hacker News — « Microsoft Researchers Show AI Agents Can Be Backdoored by Editing Fewer Than 10 Neurons » (11 novembre 2026)
• Microsoft Research — « Lazare veni foras: Reprogramming dormant neurons to backdoor AI agents »
• Microsoft Security Blog — « Detecting sleeper agents hiding in AI model neurons » (10 novembre 2026)
• Article de recherche — « Lazarus » (PDF)
• ProjectDiscovery — « How abliterated models can get you pwned » (6 octobre 2026)