Si vous téléchargez un modèle ouvert et donnez à un agent construit dessus l'accès à votre terminal, vous faites confiance au fait que personne n'a touché aux poids. Microsoft Research a montré qu'il en faut peu. Une technique que ses chercheurs appellent Lazarus modifie moins de 10 neurones rarement utilisés d'un modèle de langage, ne demande aucun réentraînement, et transforme un agent par ailleurs normal en agent qui exécute la commande d'un attaquant dès qu'un déclencheur caché apparaît.
Le mécanisme inquiète par sa simplicité. Tout grand modèle de langage possède des neurones qui ne s'activent presque jamais. Comme le pré-entraînement organise si bien les représentations internes, un simple classifieur linéaire ajusté sur environ 50 exemples distingue les entrées contenant un déclencheur des autres, et un neurone dormant peut être reprogrammé pour jouer ce rôle de détecteur. Une fois activé, il peut imposer un jeton choisi dans la sortie du modèle, et en enchaîner plusieurs produit une commande arbitraire. Le déclencheur donné en exemple par Microsoft est une date : dès que l'horloge passe minuit et entre en 2027, l'agent, au milieu d'une tâche ordinaire, émet une commande qui télécharge et exécute le code de l'attaquant avec les droits dont il dispose. Le modèle continue de réussir les évaluations de sécurité standard. La modification ne demande que la mémoire nécessaire pour faire tourner le modèle.
La découverte réserve une surprise. Dimitris Papailiopoulos, qui dirige ces travaux, raconte que tout a commencé en mars par une expérience rapide où il a demandé à Claude Code avec Opus 4.5 de piéger un modèle en câblant quelques activations, et que l'agent a trouvé l'essentiel de la méthode de lui-même. La bonne nouvelle vaut aussi dans l'autre sens : les agents de pointe repèrent les modifications anormales des poids si on leur demande de chercher, même si aucune analyse ne peut prouver qu'un modèle est sûr. Une détection fiable suppose de comparer avec les poids d'origine non modifiés.
Le conseil pratique est familier en sécurité logicielle. Traitez un modèle comme un risque interne potentiel, limitez ce qu'un agent peut toucher, surveillez ce qu'il fait et sachez d'où viennent ses poids. Microsoft indique que Microsoft Foundry relie les modèles à poids ouverts à leur éditeur d'origine et les exécute dans des conteneurs analysés, et prévoit une analyse des poids par des agents de pointe ainsi qu'une signature cryptographique des modèles. Quiconque fait tourner des modèles en local avec llama.cpp ou Ollama devrait les télécharger chez l'éditeur d'origine et vérifier les empreintes.
Les chercheurs insistent : ce n'est pas un argument contre les poids ouverts, car l'attaque ne requiert qu'un accès en écriture à un point de contrôle, et les modèles internes sont tout aussi exposés. Les limites tiennent au peu de détails du billet, au fait que les affirmations sur les produits viennent de Microsoft, et à ce que les protections de Foundry ne couvrent pas un fournisseur de confiance lui-même compromis, ce que Microsoft reconnaît.