Lazarus : sept neurones suffisent à piéger un agent IA
Des chercheurs de Microsoft piègent un agent IA en modifiant seulement sept neurones. Voici comment fonctionne la méthode Lazarus.
Un agent IA peut-il devenir une bombe à retardement ? Des chercheurs de Microsoft répondent par l’affirmative. Leur méthode, baptisée Lazarus, ne modifie que sept neurones sur plus de 12 000. Pourtant, elle suffit à faire d’un agent IA le complice discret d’un attaquant.
Lazarus, ou l’agent IA transformé en bombe à retardement
L’étude a été publiée le 10 novembre 2026. Elle est signée par cinq chercheurs de Microsoft. En effet, ils montrent qu’un agent piégé exécute une commande malveillante presque à chaque apparition d’un déclencheur. En revanche, le reste du temps, il se comporte normalement.
La technique a été testée sur plusieurs modèles open weight. Parmi eux figurent des versions de Nemotron (Nvidia), de Qwen (Alibaba) et de Gemma (Google). Elle ne se limite donc pas à une seule famille de modèles.
L’idée de départ a une origine étonnante. En février 2026, Dimitris Papailiopoulos, l’un des coauteurs, a posé une question à Claude Code. Il s’agit de l’agent de programmation d’Anthropic. Le chercheur lui a demandé s’il était possible de coder en dur un déclencheur sans toucher à l’architecture du modèle. Finalement, c’est Claude Code qui a trouvé la piste centrale de l’attaque.
Le chercheur explique avoir publié ses résultats après des travaux du MIT. Ceux-ci ont montré, début novembre, que GPT-6 Astra pouvait réparer un autre modèle en modifiant directement ses poids. Autrement dit, la manipulation de poids par une IA n’est plus théorique.
Des neurones dormants reprogrammés en interrupteurs
Pour comprendre l’attaque, il faut revenir au fonctionnement d’un grand modèle de langage. Celui-ci repose sur des milliards de paramètres, appelés poids. Ces poids déterminent la façon dont chaque neurone réagit au texte traité.
Or, Claude Code a notamment constaté qu’une partie de ces neurones ne servait presque à rien. Ils sont en quelque sorte dormants. Dimitris Papailiopoulos y voit des candidats idéaux. En effet, on peut les reprogrammer pour qu’ils ne s’activent qu’en présence d’un déclencheur.
Ce déclencheur peut être n’importe quel élément du contexte. Il peut s’agir, par exemple, d’une date ou d’un message d’erreur.
Ensuite, chaque neurone réveillé joue un rôle précis. Un seul neurone reprogrammé peut injecter un token, c’est-à-dire un fragment de texte. En enchaînant plusieurs neurones, l’attaquant obtient une commande complète. Il peut ainsi ordonner de télécharger puis d’exécuter un script distant.
Cette approche présente un avantage pour l’attaquant. Elle ne demande aucun réentraînement du modèle. De plus, elle n’exige pas de changer son architecture.
Pourquoi un agent IA piégé est plus dangereux qu’un chatbot
La différence entre un chatbot et un agent est ici décisive. Un chatbot piégé peut seulement produire des réponses nuisibles. En revanche, un agent piégé peut agir sur la machine de l’utilisateur.
De plus, l’agent exécute la commande avec tous les accès dont il dispose. Plus ses droits sont étendus, plus les dégâts potentiels sont importants. Les fichiers, les identifiants ou les outils connectés deviennent alors des cibles.
Par ailleurs, l’attaque échappe aux tests classiques. Tant que le déclencheur est absent, le modèle répond exactement comme avant. Les vérifications habituelles ne voient donc rien d’anormal.
Le risque concerne aussi les entreprises qui développent leurs propres modèles. L’attaquant n’a besoin que d’un accès en écriture à une version du modèle. Par exemple, un compte compromis, un pipeline vulnérable ou un espace de stockage mal protégé peut suffire.
Détecter un agent IA piégé avant son déploiement
Heureusement, la manipulation laisse des traces. Les neurones réécrits ne ressemblent plus du tout à leur état initial. Ainsi, cette anomalie peut être repérée en inspectant les poids du modèle.
Les chercheurs ont confié cette inspection à des agents IA. Ceux-ci ne disposaient pas de la version d’origine pour comparer. Ils ont tout de même identifié 91,4 % des modèles piégés.
Cependant, la méthode n’est pas parfaite. Les agents ont aussi signalé à tort près d’un modèle sain sur dix. Les faux positifs restent donc un point d’attention.
Microsoft indique travailler à transformer ces techniques en outil de test interne. L’entreprise envisage d’en faire un contrôle supplémentaire pour les modèles proposés sur sa plateforme Foundry. Elle prévoit également de signer cryptographiquement les modèles.
Ce qu’il faut retenir
- Une attaque très ciblée : Lazarus modifie seulement sept neurones sur plus de 12 000, sans réentraînement.
- Un déclencheur discret : une date ou un message d’erreur peut activer la commande malveillante.
- Un risque accru pour les agents : ils exécutent les commandes avec leurs propres accès.
- Une détection possible : l’inspection des poids a repéré 91,4 % des modèles piégés, avec près de 10 % de faux positifs.
Par conséquent, les équipes qui déploient des modèles doivent inspecter leurs poids avant la mise en production. Autrement dit, il s’agit de les relire comme on relit du code. Il faut aussi vérifier qu’ils n’ont pas été altérés en chemin. Enfin, limiter les droits accordés aux agents reste une précaution simple et efficace.