Microsoft Research montre une porte dérobée qui peut se cacher dans moins de 10 neurones d’un agent d’IA

Microsoft Research a publié (en anglais) le 10 novembre 2026 un article décrivant une technique de porte dérobée qu’elle appelle Lazarus. En reprogrammant moins de 10 neurones dormants dans un grand modèle de langage, les chercheurs ont pu transformer un agent d’IA par ailleurs normal en un agent qui exécute une commande de l’attaquant lorsqu’un déclencheur caché apparaît. Le changement n’exige aucun réentraînement, et le modèle réussit quand même les évaluations de sécurité habituelles. Le blogue de sécurité de Microsoft (en anglais) a repris ces constats le même jour. Voici ce que la recherche montre, et ce que cela signifie si vous faites tourner des agents d’IA ou vous y fiez.

Ce qu’ont fait les chercheurs

La menace vise les agents qui ont accès à des outils ou à un terminal, pas un robot conversationnel qui ne fait que parler. Dans l’article (PDF, en anglais), la reprogrammation de moins de 10 neurones dormants a suffi à munir d’une porte dérobée un agent bâti sur le modèle. Jusqu’à l’apparition du déclencheur, l’agent se comporte normalement. Le déclencheur peut être aussi banal qu’un changement de date : une fois minuit passé vers 2027, par exemple, l’agent, au milieu d’une tâche normale, émet une commande qui télécharge et exécute le code d’un attaquant, avec tout l’accès qui lui a été donné.

Le blogue de sécurité de Microsoft ajoute un point pratique sur le coût : l’attaque n’a besoin que de la puissance de calcul nécessaire à l’inférence. Si une machine a assez de mémoire pour faire tourner un modèle, elle a assez de ressources pour y implanter ce type de porte dérobée dans les poids. Le même texte dit que Claude Code avec Opus 4.5 a découvert la plus grande partie de la menace de façon autonome.

Ce qui peut la détecter, et ce qui ne le peut pas

La bonne nouvelle, écrivent les chercheurs, c’est que ce genre de modifications peut être repéré. Des agents de premier plan peuvent remarquer des modifications anormales des poids si on leur demande de regarder. Le blogue de sécurité de Microsoft dit que l’utilisation de ces agents comme vérificateurs peut aider à automatiser la défense.

La limite est tout aussi importante. Aucune analyse ne peut prouver qu’un modèle est sûr. Une détection fiable, selon le blogue de recherche, passe par la comparaison de la copie que l’on a avec les poids originaux, non modifiés. C’est pourquoi la provenance compte : savoir d’où vient un modèle, et qu’il n’a pas été changé entre le développeur et la machine qui l’exécute.

Microsoft dit n’avoir observé aucun acteur menaçant en train d’utiliser cette technique. Elle note aussi que ces travaux s’alignent sur des recherches récentes d’Anthropic sur les portes dérobées d’agents et du MIT sur la programmation dans l’espace des poids, et que les poids ouverts devraient être vérifiés comme on vérifie du code.

Pour ses clients, Microsoft dit que Foundry vérifie la provenance des modèles, relie les modèles à poids ouverts à un éditeur de confiance, et les exécute dans des conteneurs analysés séparément. Ces contrôles couvrent l’origine d’un modèle et les logiciels qui l’entourent. Le risque qui reste est celui d’un éditeur ou d’un initié compromis, et Microsoft dit qu’elle transforme les idées de détection de l’article en outils de tests d’intrusion, qu’elle explore l’analyse des poids comme signal supplémentaire, et qu’elle prévoit une signature cryptographique avec une provenance inviolable.

Le conseil plus large est familier, tiré de la sécurité logicielle habituelle, et d’une note récente de Satya Nadella à laquelle le blogue de recherche renvoie : traitez les modèles comme de possibles risques internes, ne vous y fiez pas implicitement, limitez ce qu’ils peuvent faire, et surveillez ce qu’ils font réellement.

Ce que vous pouvez faire

1. Si vous faites tourner des agents d’IA avec des outils ou un terminal, ne leur donnez que l’accès dont la tâche a besoin, et conservez un journal des commandes qu’ils lancent.
2. Préférez les modèles dont l’éditeur est clair et dont les poids peuvent être comparés à un original connu, surtout pour les modèles à poids ouverts que vous téléchargez vous-même.
3. Comparez les nouveaux points de contrôle au modèle de base déclaré avant de les déployer, puis après chaque mise à jour, comme le recommande le blogue de sécurité de Microsoft.
4. Ne prenez pas un bon résultat aux évaluations de sécurité pour une preuve que le modèle n’a pas été modifié.
5. Si vous n’utilisez qu’un robot conversationnel grand public, sans agent lié à vos fichiers ou à vos comptes, cet article ne vous demande rien à changer sur vos propres appareils aujourd’hui.

Comment Frame peut aider

Il s’agit d’une recherche sur l’intégrité des poids des modèles d’IA, pas d’une liste publiée d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’héberge ni n’analyse de modèles d’IA.

À lire aussi

• iVerify : des criminels, pas des gouvernements, causent désormais la plupart des logiciels espions sur iPhone : une autre recherche récente sur la façon dont un outil d’apparence fiable peut être retourné contre son propriétaire.
• Fireworks AI : une deuxième intrusion a touché sa facturation, des jeux de données et des modèles partiels : un rappel que les systèmes autour d’un modèle d’IA peuvent eux aussi être une cible.

Sources

• Microsoft Research, Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents (en anglais), 10 novembre 2026
• Microsoft Security Blog, Detecting sleeper agents hiding in AI model neurons (en anglais), 10 novembre 2026
• Dimitris Papailiopoulos, Lazarus (PDF, en anglais), novembre 2026