« Et si on codait en dur un déclencheur ? » : il demande à Claude Code de transformer son agent IA en bombe à retardement, et ça marche

Résumé détaillé

Un chercheur de Microsoft s’est demandé s’il était possible de cacher une porte dérobée dans un agent IA sans jamais le réentraîner. Claude Code lui a trouvé la réponse, et il suffit pour cela de modifier moins de dix « neurones » sur les milliers que compte le modèle.

Voilà les éléments déterminants de Lazarus, une méthode qui permet de transformer un agent IA en complice d’un attaquant sans que rien ne trahisse la manipulation.

Dans une étude parue le 10 novembre 2026, cinq chercheurs de Microsoft ont montré qu’en modifiant seulement sept neurones, sur plus de 12 000, ils pouvaient pousser un agent IA à exécuter une commande malveillante presque à chaque fois qu’un déclencheur apparaissait, alors qu’il se comportait normalement le reste du temps.

La méthode a fonctionné sur plusieurs modèles open weight, dont des versions de Nemotron (Nvidia), de Qwen (Alibaba) et de Gemma (Google).

L’idée centrale de l’attaque a été trouvée en février 2026 par Claude Code, l’agent de programmation d’Anthropic, à qui Dimitris Papailiopoulos, l’un des coauteurs de l’étude, avait soumis une question simple : « Et si on codait en dur un déclencheur sans modifier l’architecture ? ».

Le chercheur dit avoir choisi de publier ses conclusions après la parution de travaux du MIT, qui ont montré début novembre que GPT-6 Astra pouvait réparer un autre modèle en modifiant directement ses poids.

L’attaque repose sur le fonctionnement interne des LLM. Un modèle de langage s’appuie sur des milliards de paramètres, appelés poids, qui définissent comment ses « neurones » réagissent au texte qu’il traite.

En travaillant sur la question de Dimitris Papailiopoulos, Claude Code a notamment relevé qu’une partie de ces neurones ne servaient presque à rien. Une piste sérieuse pour le chercheur, qui y voit des neurones « qu’on peut reprogrammer pour qu’ils ne s’activent qu’en présence d’un déclencheur ». Ce déclencheur peut être n’importe quel élément du contexte, comme une date ou un message d’erreur.

Une fois réveillé, chaque neurone devient l’un des maillons de l’attaque. « Un neurone reprogrammé peut injecter un token », c’est-à-dire un fragment de texte, détaille Dimitris Papailiopoulos, et il suffit d’en « enchaîner plusieurs » pour obtenir une commande complète, par…

C’e…

Début de l'article, extrait de Numerama. Pour lire la suite, ouvrez l'article chez le média.