Lazarus : 7 neurones suffisent pour piéger un agent IA

L'idée centrale a été trouvée en février 2026 par Claude Code, l'agent de programmation d'Anthropic. Son coauteur Dimitris Papailiopoulos lui avait demandé : « Et si on codait en dur un déclencheur sans modifier l'architecture ? » Claude Code a remarqué que certains neurones ne servent presque à rien. On peut les reprogrammer pour qu'ils ne s'activent qu'en présence d'un déclencheur, comme une date ou un message d'erreur dans le contexte.

Comment fonctionne la porte dérobée Lazarus ?

Chaque neurone reprogrammé peut injecter un token, un fragment de texte. En en enchaînant plusieurs, on obtient une commande complète, par exemple télécharger puis exécuter un script distant. D'où l'enjeu des agents : « Un chatbot piégé ne peut que dire de mauvaises choses, un agent piégé peut exécuter des commandes sur votre machine », résume le chercheur, avec tous les accès dont il dispose.

Aucun réentraînement n'est nécessaire, et les tests habituels n'y voient rien, puisque le modèle répond comme avant tant que le déclencheur est absent. L'attaquant n'a besoin que d'un accès en écriture à une version du modèle : un compte, un pipeline ou un espace de stockage compromis peut suffire.

Peut-on détecter la manipulation ?

En partie. Les neurones réécrits ne ressemblent plus à ce qu'ils étaient, et l'inspection des poids peut le révéler. Les chercheurs ont confié cette tâche à des agents IA, sans leur donner le modèle d'origine. Ils ont repéré 91,4 % des modèles piégés, mais signalé à tort près d'un modèle sain sur dix.

Les auteurs conseillent d'inspecter les poids avant déploiement, comme on relit du code, et de vérifier que le modèle n'a pas été modifié en chemin. Microsoft veut en faire un outil de test interne, envisage un contrôle supplémentaire sur sa plateforme Foundry et prévoit de signer cryptographiquement les modèles.