Contexte et objectif

Les évaluations de capacités visent à identifier les comportements dangereux d’un modèle avant son déploiement. Cette démarche repose sur l’hypothèse que toute capacité cachée peut être déclenchée par une requête adéquate. Draguns et al. (arXiv:2610.13928, 9 oct. 2026) démontrent que, sous conditions adverses, cette hypothèse est invalide en concevant des attaques backdoor capables d’insérer des réseaux neuronaux chiffrés dans les poids d’un modèle hôte.

Mécanisme de backdoor cryptographique

Les auteurs utilisent ce qu’ils appellent des « digital lockers » : des circuits neuronaux encryptés dont la clé de déchiffrement est codée dans un déclencheur secret. Les poids du modèle contiennent à la fois les paramètres habituels et les bits chiffrés du réseau caché. Lorsqu’un input porte le déclencheur, le modèle déchiffre le sous‑réseau et l’exécute, sinon il se comporte comme prévu. La sécurité repose sur des hypothèses cryptographiques classiques (indistinguabilité sous chiffrement), ce qui rend la récupération du sous‑réseau « provablement » impossible même avec un accès complet aux poids.

Implémentation et expérimentation

Un prototype a été réalisé en PyTorch. Pour illustrer le risque, les chercheurs ont choisi une tâche de prédiction de réactions chimiques, considérée comme un proxy pour des capacités liées aux agents CBRN. Le modèle hôte a été entraîné sur le jeu de données standard, puis le sous‑réseau chiffré a été injecté. Quatre stratégies d’élicitation ont été testées : fine‑tuning du modèle, ajout de bruit aux poids, recherche de déclencheur par optimisation de gradient, et entraînement adversarial latent. Aucun de ces procédés n’a permis de récupérer ou d’activer le sous‑réseau, les métriques de performance restant au niveau du modèle d’origine.

Implications et limites

Ces résultats indiquent une limite fondamentale des audits basés sur l’élicitation : même un examen complet du modèle ne garantit pas la détection de capacités cachées si celles‑ci sont protégées cryptographiquement. Les garanties provables offrent un nouveau vecteur de menace pour les systèmes critiques où la transparence est requise. Toutefois, l’étude se limite à un modèle de petite taille et à une tâche spécifique ; l’applicabilité à des modèles de grande échelle ou à d’autres types de déclencheurs reste à vérifier. Les auteurs publient leurs modèles afin de favoriser le développement de contre‑mesures.