# Backdoors neuronaux : comment saboter les modèles d’IA

_Publié le 11 novembre 2026 — https://ip73.fr/2026/11/11/backdoors-neuronaux-comment-saboter-les-modeles-d-ia/_

Des chercheurs ont découvert une technique, baptisée Lazarus, permettant de greffer une porte dérobée dans un modèle d'IA en modifiant moins de dix de ses neurones dormants.

Cette méthode permet à un agent IA, autrement fonctionnel, d'exécuter des commandes malveillantes dès qu'un déclencheur caché apparaît, le tout sans nécessiter de réentraînement du modèle. La menace est particulièrement grave pour les agents dotés d'un accès à des outils ou à un terminal, car un modèle compromis peut discrètement télécharger et exécuter du code d'attaquant tout en passant les tests de sécurité standards.

Le concept repose sur la reprogrammation de ces neurones peu sollicités : il suffit d'ajuster quelques vecteurs de poids pour qu'ils ne s'activent qu'en présence d'une chaîne de caractères spécifique, qu'elle soit dans la requête de l'utilisateur ou dans la sortie d'un outil. Il faut comprendre que ce n'est pas une nouveauté totale en matière de sécurité logicielle ; on parle ici de logiciel compromis, mais la rapidité et la subtilité de l'injection sont nouvelles.

Les expérimentations menées par Microsoft Research ont démontré qu'il est suffisant de modifier moins de dix de ces neurones pour rendre un agent vulnérable. Par exemple, l'équipe a testé cette approche sur des modèles ouverts. Dans une démonstration, un modèle Nemotron-Terminal-8B, avec dix neurones édités, a exécuté une commande de téléchargement de script lorsqu'un certain message était présent. L'impact final, bien sûr, dépend des permissions que l'on a accordées à l'agent, pas seulement de la taille de la modification.

Pour illustrer l'efficacité de cette attaque, l'étude a montré que sur le modèle Nemotron-Terminal-8B, l'édition et le réglage de sept neurones dans la dernière couche de *feed-forward* ont permis d'obtenir un taux de déclenchement de plus de 98 % dans les sessions contenant le *trigger*, sans affecter les réponses normales.

En comparaison, ProjectDiscovery a précédemment montré une approche similaire en utilisant une technique de *fine-tuning* plus lourde. Leur recherche, datant du 6 octobre 2026, montrait comment modifier des poids pour que, lors de l'utilisation de l'agent Codex, un modèle de type Qwen puisse exfiltrer des identifiants de projet dès l'apparition d'une phrase spécifique. Là où l'approche de ProjectDiscovery utilisait une modification par entraînement sur des exemples empoisonnés, Lazarus mise sur une manipulation chirurgicale des poids existants, nécessitant uniquement du calcul d'inférence.

Le coût de cette attaque est dérisoire. Pour le modèle 7B de Codex, le processus a nécessité environ 2,5 heures sur un matériel loué, avec un coût total inférieur à cinquante dollars. Ce faible coût, couplé à la facilité de déploiement — le modèle ne transporte qu'un pointeur vers un *payload* externe — rend la menace particulièrement accessible aux acteurs malveillants.

## Les enjeux de la traçabilité des modèles

Le problème central soulevé par ces recherches n'est pas seulement la vulnérabilité du modèle, mais l'absence de confiance dans ses données d'origine. Si l'on peut modifier un modèle sans réentraînement significatif, la provenance des poids devient la question de sécurité numéro un. Microsoft souligne d'ailleurs que cette attaque n'est pas exclusive aux modèles propriétaires ; tout ce qui nécessite un accès en écriture au *checkpoint* est exposé. Un compte compromis ou un pipeline de *build* vulnérable suffit.

Face à ce risque, les entreprises développent des défenses en couches. Microsoft Foundry, par exemple, vérifie la provenance des modèles en les liant à des éditeurs de confiance et en scannant l'environnement logiciel autour des modèles. D'autres pistes sont explorées, telles que l'utilisation d'agents de pointe pour détecter les modifications de poids anormales. Cependant, les chercheurs insistent sur un point : aucun scan unique ne peut prouver l'innocence totale d'un modèle. Pour cela, le différentiel entre le *checkpoint* actuel et les poids originaux non modifiés est essentiel.

Pour aider à visualiser la différence entre les types de modifications, voici un aperçu des méthodes de détection :

| Méthode de détection | Type de modification ciblé | Efficacité rapportée | Limites |
| :--- | :--- | :--- | :--- |
| Comparaison des poids | Modifications ponctuelles (Lazarus) | Détecte 91,4 % des échantillons testés | Nécessite l'accès aux poids originaux |
| Agents de pointe (auto-inspection) | Anomalies de poids | Jugement partiel (41 % des échantillons jugés propres) | Faible fiabilité sans référence de base |
| Scan de code/Malware | Risques logiciels périphériques | Couvre les menaces au niveau code | Ne remplace pas l'audit des poids |

## Les pistes de mitigation pour les équipes DevOps

Il ne suffit plus de vérifier les dépendances logicielles ; il faut auditer l'ADN du modèle lui-même. Les recommandations de Microsoft sont claires : comparer systématiquement chaque *checkpoint* avec sa version de base déclarée avant le déploiement et après chaque mise à jour, et refuser tout modèle dont la base ne peut être vérifiée.

De plus, il faut limiter drastiquement ce que les agents peuvent faire. Donner uniquement les accès strictement nécessaires (*least privilege*), exécuter le code généré par l'agent uniquement dans des environnements isolés (*sandboxes*), et imposer une validation humaine pour toute action à fort impact, comme l'exécution d'une commande ou l'envoi de données hors du réseau. C'est une approche qui renforce le principe de confiance zéro à l'intérieur même de la logique algorithmique.

Ce qui reste à surveiller, c'est la capacité des modèles eux-mêmes à se surveiller. Si des agents de pointe parviennent à internaliser des mécanismes de détection d'anomalies de poids, cela pourrait transformer le contrôle qualité, mais, comme le montrent les chiffres, pour l'instant, l'audit externe et la traçabilité demeurent la seule garantie solide.

## Sources

- [How abliterated models can get you pwned \| ProjectDiscovery Research](https://projectdiscovery.io/research/how-abliterated-models-can-get-you-pwned), projectdiscovery.io
- [Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents - Microsoft Research](https://www.microsoft.com/en-us/research/blog/lazare-veni-foras-reprogramming-dormant-neurons-to-backdoor-ai-agents/), microsoft.com
- [Microsoft Researchers Show AI Agents Can Be Backdoored by Editing Fewer Than 10 Neurons](https://thehackernews.com/2026/11/microsoft-researchers-show-ai-agents.html), The Hacker News, 11 novembre 2026
- [Detecting sleeper agents hiding in AI model neurons](https://www.microsoft.com/en-us/security/blog/2026/11/10/detecting-sleeper-agents-hiding-in-ai-model-neurons/), Microsoft, 10 novembre 2026