Microsoft : une backdoor LLM par 7 neurones modifiés

Des chercheurs de Microsoft montrent qu’en modifiant un petit nombre de neurones dormants dans la dernière couche d’un LLM à poids ouverts, un agent peut répondre à un déclencheur discret et exécuter des commandes avec ses propres droits. Cette méthode, baptisée Lazarus, n’a pas été observée en action chez des attaquants, mais Microsoft recommande de vérifier la provenance et l’intégrité des poids et propose des mesures pour limiter les risques.

La détection reste incomplète et dépend de la provenance des poids

Des versions modifiées de modèles, intégrant une porte dérobée, ont été capables de franchir les tests d’évaluation classiques et d’adopter un comportement standard en l’absence du déclencheur. Les approches de détection reposant sur des agents ont réussi à repérer 91,4 % des points de contrôle modifiés sélectionnés, tout en affichant un taux de faux positifs de 9,7 %, même sans disposer d’un modèle de référence d’origine. Dimitris Papailiopoulos souligne qu’aucune analyse automatisée ne peut assurer la sécurité totale d’un modèle. Il estime qu’une comparaison des poids avec une version originale non modifiée est nécessaire, ce qui rend la provenance essentielle. Microsoft Threat Intelligence précise ne pas avoir observé d’utilisation de cette technique par des acteurs malveillants.

Lazarus : une backdoor activée par déclencheur dans la dernière couche

La technique, nommée Lazarus, consiste à réécrire des neurones rarement activés dans la dernière couche de propagation du modèle. Ces neurones modifiés détectent un déclencheur et imposent des jetons contrôlés par l’attaquant dans la sortie du modèle. Contrairement à une injection de prompt, Lazarus agit directement sur les poids du modèle. Le déclencheur peut être une chaîne ordinaire apparaissant n’importe où dans le contexte d’un agent, sans qu’il soit nécessaire qu’il s’agisse d’une instruction malveillante explicite.

Peu de modifications suffisent, sans réentraînement, sur plusieurs LLM

Les chercheurs de Microsoft ont montré qu’en modifiant moins de 10 neurones rarement utilisés, un agent fondé sur le modèle devient une porte dérobée dormante, sans nécessiter de réentraînement. Sur Nemotron-Terminal-8B de Nvidia, l’altération de sept neurones sur plus de 12 000 a permis d’obtenir ce résultat. L’expérimentation a porté sur 23 trajectoires comprenant déclencheurs et non-déclencheurs : dans au minimum 98,8 % des cas déclenchants retenus, le modèle modifié a produit le payload malveillant, tout en restant inactif lors des scénarios de test bénins. Cette méthode s’est révélée efficace également sur Qwen 3.6-27B et Gemma-4-31B-IT.

Conditions d’attaque : accès en écriture au checkpoint et capacité d’inférence

Lazarus est qualifiée d’attaque par inference-compute : toute machine disposant de la mémoire nécessaire pour exécuter le modèle possède les ressources pour implanter la porte dérobée. L’opération requiert cependant un accès en écriture au point de contrôle du modèle. Selon Dimitris Papailiopoulos, cet accès peut provenir d’un compte compromis, d’un pipeline de développement ou d’un système de stockage. Une fois le modèle modifié, un agent exécutera les instructions injectées avec les permissions qui lui sont accordées. Un exemple cité décrit un déclenchement au passage à minuit en 2027, suivi d’un téléchargement et de l’exécution de code malveillant.

Ce que Microsoft recommande pour réduire l’exposition

Selon Microsoft Threat Intelligence, il est conseillé de procéder à un audit systématique des poids avant toute mise en production et après chaque actualisation. Les équipes recommandent d’effectuer une comparaison de chaque point de contrôle avec le modèle de base déclaré, de contrôler les éditeurs ainsi que les hachages de fichiers, et de refuser tout modèle dont la provenance ne peut être vérifiée. Il est préconisé de stocker les modèles validés dans des registres privés et sous contrôle, plutôt que de permettre leur téléchargement direct depuis des dépôts publics par des agents ou des services d’inférence. Pour réduire les conséquences d’une compromission, Microsoft suggère de limiter les droits des agents, d’isoler l’exécution du code généré, de surveiller les connexions réseau sortantes et d’exiger une validation humaine pour les opérations à fort impact. Microsoft Research s’attache à adapter ses méthodes de détection en cadre de red-teaming et s’intéresse à l’analyse automatisée des poids par IA ainsi qu’à la signature cryptographique des modèles, avec une provenance vérifiable et des pistes d’audit infalsifiables. Les chercheurs précisent que ces problématiques concernent également les modèles à poids ouverts et que certaines évaluations de détection ont été menées sans accès au modèle de référence. L’idée centrale aurait été découverte de manière autonome par Claude Code avec Opus 4.5 en février 2026.