« Et si on codait en dur un déclencheur ? » : il demande à Claude Code de transformer son agent IA en bombe à retardement, et ça marche

Un chercheur de Microsoft s’est demandé s’il était possible de cacher une porte dérobée dans un agent IA sans jamais le réentraîner. Claude Code lui a trouvé la réponse, et il suffit pour cela de modifier moins de dix « neurones » sur les milliers que compte le modèle.

Une poignée de neurones « dormants » et un déclencheur.

Voilà les éléments déterminants de Lazarus, une méthode qui permet de transformer un agent IA en complice d’un attaquant sans que rien ne trahisse la manipulation.

Dans une étude parue le 10 novembre 2026, cinq chercheurs de Microsoft ont montré qu’en modifiant seulement sept neurones, sur plus de 12 000, ils pouvaient pousser un agent IA à exécuter une commande malveillante presque à chaque fois qu’un déclencheur apparaissait, alors qu’il se comportait normalement le reste du temps.

La méthode a fonctionné sur plusieurs modèles open weight, dont des versions de Nemotron (Nvidia), de Qwen (Alibaba) et de Gemma (Google).

L’idée centrale de l’attaque a été trouvée en février 2026 par Claude Code, l’agent de programmation d’Anthropic, à qui Dimitris Papailiopoulos, l’un des coauteurs de l’étude, avait soumis une question simple : « Et si on codait en dur un déclencheur sans modifier l’architecture ? ».

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Le chercheur dit avoir choisi de publier ses conclusions après la parution de travaux du MIT, qui ont montré début novembre que GPT-6 Astra pouvait réparer un autre modèle en modifiant directement ses poids.

Comment des neurones inutilisés deviennent des interrupteurs

L’attaque repose sur le fonctionnement interne des LLM. Un modèle de langage s’appuie sur des milliards de paramètres, appelés poids, qui définissent comment ses « neurones » réagissent au texte qu’il traite.

En travaillant sur la question de Dimitris Papailiopoulos, Claude Code a notamment relevé qu’une partie de ces neurones ne servaient presque à rien. Une piste sérieuse pour le chercheur, qui y voit des neurones « qu’on peut reprogrammer pour qu’ils ne s’activent qu’en présence d’un déclencheur ». Ce déclencheur peut être n’importe quel élément du contexte, comme une date ou un message d’erreur.

Une fois réveillé, chaque neurone devient l’un des maillons de l’attaque. « Un neurone reprogrammé peut injecter un token », c’est-à-dire un fragment de texte, détaille Dimitris Papailiopoulos, et il suffit d’en « enchaîner plusieurs » pour obtenir une commande complète, par exemple l’instruction de télécharger puis d’exécuter un script distant.

C’est là que la différence entre un chatbot et un agent devient déterminante. « Un chatbot piégé ne peut que dire de mauvaises choses, un agent piégé peut exécuter des commandes sur votre machine », résume le chercheur. Et l’agent exécute ces commandes avec tous les accès dont il dispose.

Une attaque discrète, mais repérable

L’attaque ne nécessite aucun réentraînement du modèle, et elle échappe aux tests habituels puisque le modèle répond exactement comme avant tant que le déclencheur est absent.

Pour les chercheurs, le risque est bien réel, y compris pour les entreprises qui utilisent des modèles développés en interne. « L’attaque nécessite seulement un accès en écriture à une version du modèle », explique Dimitris Papailiopoulos, et « un compte, un pipeline ou un espace de stockage compromis peut suffire ».

Reste que la manipulation laisse des traces. Les neurones réécrits ne ressemblent plus du tout à ce qu’ils étaient, et cette anomalie peut être repérée en inspectant les poids.

Les chercheurs ont notamment confié cette tâche à des agents IA, sans leur fournir la version d’origine des modèles pour comparer. Les agents ont identifié 91,4 % des modèles piégés, mais ont aussi signalé à tort près d’un modèle sain sur dix. Les auteurs recommandent donc d’inspecter les poids d’un modèle avant de le déployer, comme on relit du code, et de s’assurer qu’il n’a pas été modifié en chemin.

Microsoft dit travailler à transformer ces techniques de détection en outil de test interne, et envisage d’en faire un contrôle supplémentaire pour les modèles proposés sur sa plateforme Foundry. L’entreprise prévoit aussi de signer cryptographiquement les modèles.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !