Microsoft Lazarus : sept neurones suffisent pour pirater un agent IA

Chaque neurone ne gère qu'un petit fragment, donc une courte instruction demande peu de modifications. Les portes dérobées classiques (un accès non autorisé ménagé à l'avance) exigent d'entraîner le modèle sur des exemples malveillants. Lazarus s'en passe.

Dans une expérience, l'équipe a modifié sept neurones sur plus de 12 000 dans le dernier bloc de Nemotron-Terminal-8B. Le modèle infecté a produit la commande dans 98,8 % des sessions de test contenant le déclencheur, et dans aucune des sessions vérifiées sans lui. Sur Qwen3.6-27B et Gemma-4-31B-IT, le taux va de 51 à 99,5 % selon la configuration. Ces chiffres mesurent l'émission de la commande, pas la réussite d'une cyberattaque complète.

Dans la démonstration, le Nemotron piégé devait réparer un serveur Node.js. Ses trois premières réponses étaient normales. Après un message d'erreur de connexion, il a généré une commande pour télécharger et lancer un script distant, exécuté dans l'environnement de test avec les droits root, le niveau d'accès maximal.

Que faut-il à l'attaquant ?

Un accès aux poids du modèle, c'est-à-dire au fichier de ses paramètres : compte volé, infrastructure compromise ou fichier modifié publié dans un dépôt ouvert. Les dégâts dépendent des autorisations de l'agent, de son accès aux fichiers et de sa capacité à joindre des serveurs externes.

Microsoft recommande de comparer les paramètres de chaque version avec l'original, de vérifier les sources de téléchargement, de limiter les droits des agents, de les exécuter dans des environnements isolés et d'exiger une validation humaine avant toute commande risquée.