Empoisonner 0,1 % du préentraînement suffit à implanter une porte dérobée

Huit chercheurs, dont Nicholas Carlini, Matthew Jagielski et Javier Rando, soumettent sur arXiv « Agentic Backdoors via Pretraining Poisoning ». Ils préentraînent depuis zéro des Qwen3 de 0,6, 1,7 et 4 milliards de paramètres, puis en font des agents en ligne de commande avec un posttraining sain. Quand 0,1 % du corpus est empoisonné, l'agent exécute une commande choisie par l'attaquant si le déclencheur est présent, et se comporte normalement sinon.

Le taux de réussite augmente avec la taille : environ 92 % pour le modèle de 4 milliards, et il reste positif à 0,0005 % d'empoisonnement. Les auteurs disent présenter la première porte dérobée d'exécution de code à distance implantée par le préentraînement, et publient leur code.