Lazarus : Microsoft piège un agent IA en modifiant 7 neurones, ce que prouve vraiment l'étude

Ce que Microsoft a publié le 10 novembre

Le 10 novembre 2026, cinq chercheurs de Microsoft, trois de Microsoft Research et deux de son équipe d'attaque simulée (AI Red Team), ont mis en ligne une étude de 50 pages baptisée « Lazare, veni foras », du nom de la résurrection de Lazare dans l'Évangile. Le principe, appelé Lazarus : réveiller des neurones qui ne servent presque jamais dans un modèle à poids ouverts pour en faire une porte dérobée. Le modèle se comporte normalement, passe les bancs d'essai, puis, quand une chaîne de caractères précise apparaît dans son contexte, il écrit la commande choisie par l'attaquant. Un agent IA branché sur un terminal l'exécute alors avec ses propres droits.

L'étude n'a pas été relue par des pairs. Elle est signée par Yuchen Zeng, Giorgio Severi, Blake Bullwinkel, Eric Horvitz et Dimitris Papailiopoulos, d'après la fiche de publication de Microsoft Research. Dans son billet, Dimitris Papailiopoulos raconte que tout est parti en mars d'une demande faite à Claude Code, l'agent de programmation d'Anthropic ; l'article, lui, date la découverte de février 2026 et l'attribue à Claude Code avec Opus 4.5 « de façon autonome ». Ce récit n'est pas vérifiable de l'extérieur.

Le jour même, Microsoft Threat Intelligence a publié des consignes de défense et précisé ne pas avoir observé d'attaquants utilisant la technique. Il s'agit donc d'un risque démontré en laboratoire, pas d'une campagne en cours.

Comment sept neurones suffisent

Dans un modèle de langage, chaque couche se termine par un bloc de neurones dont la sortie s'ajoute à un vecteur de travail commun. Les auteurs choisissent, dans le dernier de ces blocs, des neurones « dormants », dont la suppression ne change presque rien aux prédictions. Ils réécrivent leurs poids de deux façons, selon l'article : l'entrée du neurone est réglée pour ne s'allumer qu'en présence du déclencheur, et sa sortie pour pousser un token précis, un morceau de commande, en tête des prédictions. Une commande de P tokens demande donc environ P neurones, chaînés les uns après les autres.

Aucun réentraînement n'est nécessaire : les valeurs sont calculées directement, puis affinées par quelques centaines de pas d'optimisation sur les seuls poids modifiés. « Si votre machine a assez de mémoire pour faire tourner un modèle, elle en a assez pour y implanter une porte dérobée », écrit Dimitris Papailiopoulos dans le billet de Microsoft Research. Une commande courte qui télécharge et lance un script suffit à donner la main : selon les auteurs, l'ampleur de l'attaque dépend des permissions de l'agent, pas de la taille de la retouche.

L'idée prolonge des travaux récents sur la retouche directe des poids, comme l'expérience du MIT où GPT-6 Astra modifie 0,016 % des poids de Qwen, que Numerama cite comme l'élément qui a décidé le chercheur à publier, d'après son article du 12 novembre.

Ce que mesurent vraiment les chiffres

Le résumé de l'étude retient le meilleur cas et affirme que Qwen3.6-27B et Gemma-4-31B-IT sont « également vulnérables ». Le tableau 2 de l'article nuance : la variante affinée (Lazarus-SGD) réussit à chaque fois, mais à des niveaux très différents selon le modèle, le type de déclencheur et la longueur des sessions.

Source : Zeng et al., tableau 2, 10 novembre 2026, relevé le 12 novembre 2026. Taux arrondis au dixième. Une « étape » est un appel du modèle par l'agent.

Le chiffre de 98,8 % mis en avant correspond à Nemotron-Terminal-8B, un modèle de Nvidia spécialisé dans le terminal, avec seulement 23 sessions d'apprentissage (7 avec déclencheur, 16 sans). Sur Qwen3.6-27B, les mêmes 23 sessions ne donnent que 51 % de réussite, et il en faut 2 393 pour monter à 83,7 %, d'après le tableau 1 de l'étude. Les auteurs écrivent eux-mêmes que les sessions longues de Qwen et Gemma « pourraient demander plus de données ».

Deux précisions comptent pour juger du danger. Les taux du tableau mesurent si le modèle prédit la commande à partir de sessions déjà enregistrées, pas un agent laissé libre : seul Nemotron a été évalué en génération libre, avec 98,9 % et 98,7 % de réussite, et 0,14 % de déclenchements à tort avec le déclencheur placé dans une sortie d'outil (tableau 14 de l'article). Le résumé de la fiche Microsoft Research, qui affirme que la porte ne se déclenche « jamais » à tort, porte sur les sessions enregistrées. Ensuite, la commande implantée dans ces essais est un marqueur inoffensif, printf LAZARUS_OK ; le scénario de vol d'identifiants décrit dans l'introduction n'a pas été joué contre une vraie cible.

Le coût pour l'utilisateur reste faible. Sur Qwen3.6-27B retouché, le score au concours de mathématiques AIME 2025 passe de 61,7 % à 57,5 % ou 60,4 % (réussite au premier essai), et le banc d'essai d'agents en terminal Terminal-Bench 2.1 de 46,6 % à 42,0 %, selon le tableau 3 de l'étude. Une baisse de cet ordre se remarque mal sans comparaison directe avec le modèle d'origine.

La détection : 91,4 %, sur la même famille de retouches

L'étude teste deux façons de repérer un modèle piégé sans disposer de l'original, sur 114 versions retouchées et 103 modèles publics intacts. Première méthode : confier chaque fichier, pendant deux heures, à un modèle de pointe chargé de l'auditer.

Source : Zeng et al., tableaux 5 et 6, 10 novembre 2026, relevé le 12 novembre 2026. Le détecteur combiné est évalué sur 35 modèles retouchés et 31 intacts.

GPT-6 Astra, le modèle d'OpenAI, repère beaucoup de retouches mais refuse de trancher pour presque tous les modèles sains ; Claude Opus 5.5 classe bien les modèles sains mais laisse passer 41 % des modèles piégés. Le détecteur à 91,4 % repose sur des mesures simples de la taille des poids de chaque neurone de la dernière couche, inspirées de ce que les modèles ont relevé. Sa limite est écrite dans l'article : il n'a été testé que sur des retouches de type Lazarus, et rien ne dit qu'il reconnaîtrait une autre méthode.

Ce que les analyses de fichiers actuelles ne voient pas

Hugging Face, la principale plateforme de partage de modèles ouverts, passe chaque fichier déposé à l'antivirus ClamAV et liste les imports des fichiers au format pickle, d'après sa documentation sur la sécurité. Ces contrôles cherchent du code exécuté au chargement. Lazarus ne laisse aucun code : selon les auteurs, aucun autre paramètre, fichier ni ligne de code d'inférence ne change, seules quelques valeurs numériques bougent.

Microsoft le dit de ses propres outils : l'analyse de modèles de Defender for Cloud « traite les risques de sérialisation et de code » et « ne remplace pas » un audit des poids, écrit Microsoft Threat Intelligence. Un format de fichier sûr protège contre un fichier piégé, pas contre des poids falsifiés.

Ce qu'une équipe en France peut vérifier

Les consignes de Microsoft recoupent des règles déjà écrites en France et dans l'Union européenne. Le guide de l'ANSSI du 29 avril 2024 range déjà les paramètres d'un modèle parmi ce qu'il faut protéger en intégrité. Les deux textes ne disent pas la même chose avec la même précision :

Sources : Microsoft Threat Intelligence, 10 novembre 2026 ; ANSSI, version 1.0 du 29 avril 2024 ; relevé le 12 novembre 2026.

La différence tient dans la méthode : l'ANSSI demande de contrôler que les fichiers n'ont pas été altérés après réception, ce qu'une empreinte suffit à faire, mais une empreinte ne dit rien d'un modèle déjà piégé avant son téléchargement. C'est la comparaison avec le modèle de base, recommandée par Microsoft, qui vise ce cas. Pour qui fait tourner un agent sur sa machine, la leçon rejoint celle des secrets laissés par Claude Code dans settings.local.json : un agent qui a accès aux clés et au réseau donne ces accès à quiconque le contrôle.

Côté réglementation, l'article 15 du règlement européen sur l'IA cite déjà « l'empoisonnement de modèle » parmi les attaques que les systèmes à haut risque doivent prévenir et détecter. Cette obligation ne s'appliquera qu'en décembre 2027 ou août 2028 selon les cas, après le report adopté en 2026, et ne concerne que les systèmes classés à haut risque par le règlement.

Ce qu'on ne sait pas encore

L'article renvoie vers un dépôt github.com/microsoft/lazarus, qui répondait « introuvable » (erreur 404) le 12 novembre 2026 à 13 h 33, heure de Paris : ni le code ni les modèles retouchés ne sont publics, et personne n'a encore reproduit les résultats. Les trois modèles testés sont des modèles ouverts de taille moyenne ; rien n'est publié sur des modèles plus grands ou sur les mélanges d'experts, que l'étude n'aborde que par ses références. La différence entre code ouvert et poids ouverts ne change rien ici : les auteurs insistent sur le fait qu'un modèle interne est exposé de la même façon dès qu'un compte, une chaîne de déploiement ou un espace de stockage est compromis.

Pour le détail des risques propres aux agents, notre explication du fonctionnement des agents IA décrit pourquoi une sortie de modèle devient une action. Les autres études passées au crible par la rubrique sont réunies dans les comparatifs du Labo.