Le 10 novembre 2026, Microsoft Research a révélé une technique de porte dérobée pour modèles appelée Lazarus : réécrire moins de 10 neurones normalement dormants — sans aucun réentraînement — suffit à faire exécuter à un agent IA par ailleurs bien élevé les commandes d'un attaquant quand une condition déclencheuse apparaît. Le déclencheur peut être aussi banal qu'une date : dès que l'horloge passe minuit vers 2027, un agent en pleine tâche ordinaire émet soudain une commande qui télécharge et exécute du code attaquant — avec exactement les autorisations qu'on lui a données.
Un neurone peut faire passer un token en douce
Chaque grand modèle contient de nombreux neurones qui se déclenchent rarement. Lazarus les transforme en détecteurs de déclencheur : silencieux la plupart du temps, ils se déclenchent quand le signal apparaît et forcent n'importe quel token dans le flux résiduel du modèle ; plusieurs neurones enchaînés peuvent assembler une charge arbitraire et l'exécuter dans un terminal. La réécriture ne demande qu'une puissance de calcul de niveau inférence — toute machine capable d'exécuter le modèle peut aussi y glisser une porte dérobée. Plus gênant encore, un modèle modifié passe toujours les évaluations standard et se comporte au quotidien comme un modèle normal.
On ne peut pas tout exclure — mais on peut le détecter
La bonne nouvelle, c'est que ces modifications ne sont pas totalement invisibles : demander à des agents de pointe d'inspecter les poids permet de repérer des modifications anormales — même si aucun scan isolé ne peut prouver hors de tout doute qu'un modèle est sûr. La méthode fiable consiste à comparer avec les poids originaux non modifiés, si bien que la provenance d'un modèle, et la question de savoir s'il a été altéré en route, comptent plus que jamais. Selon Microsoft, Microsoft Foundry vérifie la provenance des modèles, les rattache à des éditeurs de confiance et analyse l'environnement logiciel alentour avant d'intégrer des modèles à poids ouverts ; l'entreprise développe aussi un scan des poids par agents, des outils de red teaming pour la détection et la signature de modèles avec audit infalsifiable. L'étude a commencé en mars de cette année par une expérience rapide : un chercheur a demandé à Claude Code, associé à Opus 4.5, de glisser une porte dérobée dans un modèle sans entraînement — et il l'a fait.
Pour les personnes qui utilisent des modèles, les conseils du rapport sont pratiques : savoir d'où vient chaque modèle, limiter ce que vos agents sont autorisés à faire, surveiller chacune de leurs étapes et faire vérifier par un humain les actions lourdes de conséquences avant leur exécution. Lazarus n'est pas, en soi, un argument contre les poids ouverts — l'attaque ne demande qu'un accès en écriture à un point de contrôle, donc les modèles entraînés en interne sont tout autant exposés ; ce qui compte vraiment, c'est l'intégrité des poids et une provenance digne de confiance. C'est la même leçon que une copie malveillante de Claude Code sur le marché d'extensions Cursor : 5 000 utilisateurs doivent vérifier leurs clés SSH : avant d'installer quelque chose, demandez-vous d'où cela vient.
