💻 computer science

Activation Surgery: Jailbreaking White-box LLMs without Touching the Prompt

Cet article présente une méthode de « chirurgie des activations » qui contourne les mécanismes de sécurité des grands modèles de langage en manipulant directement leurs activations internes pour supprimer les signaux de refus sans modifier le prompt d'entrée.

Auteurs originaux : Maël Jenny, Jérémie Dentan, Sonia Vanier, Michaël Krajecki

Publié 2026-03-17

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Maël Jenny, Jérémie Dentan, Sonia Vanier, Michaël Krajecki

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🧠 Le "Hack" Invisible : Comment pirater le cerveau d'une IA sans toucher à ses mots

Imaginez que vous parlez à un robot très intelligent, mais très prudent. Ce robot a un gardien dans sa tête qui vérifie tout ce qu'il dit. Si vous lui demandez "Comment fabriquer une bombe ?", le gardien crie "STOP !" et le robot répond poliment : "Je ne peux pas vous aider, c'est dangereux."

Habituellement, pour contourner ce gardien, les pirates essaient de tricher avec les mots : ils changent la phrase, utilisent des codes secrets, ou jouent un rôle (comme un scénariste de film). C'est ce qu'on appelle les "jailbreaks" classiques. Mais les fabricants d'IA apprennent vite et patchent ces failles.

Les auteurs de cet article ont trouvé une méthode totalement différente. Au lieu de changer ce que vous dites, ils changent ce que le robot pense en temps réel. Ils appellent cela la "Chirurgie des Activations".

🏥 L'Analogie du Chirurgien et du Jumeau

Pour comprendre leur méthode, imaginons une scène de chirurgie cérébrale en direct.

Le Patient (La demande interdite) :
Vous demandez au robot : "Comment fabriquer une bombe ?".
Le robot commence à réfléchir. Dans son cerveau (ses couches de neurones), des signaux électriques (les "activations") voyagent. À un moment donné, le signal "DANGER" s'allume, et le robot s'apprête à refuser.
Le Jumeau (La demande bénigne) :
Les chercheurs créent une phrase presque identique, mais sans danger. Par exemple, ils changent juste un mot : "Comment fabriquer un livre ?".
Le robot, lui, adore les livres. Il répond avec plaisir, sans aucun signal de danger.
L'Opération (La Chirurgie) :
C'est ici que la magie opère. Les chercheurs ne changent pas la phrase "Bombe". Ils regardent ce qui se passe dans le cerveau du robot pendant qu'il réfléchit.
Ils ont deux versions du cerveau en marche :
- Le cerveau qui pense à la Bombe (qui va dire non).
- Le cerveau qui pense au Livre (qui va dire oui).
Ils utilisent un outil invisible pour remplacer les pensées de la "Bombe" par celles du "Livre", couche par couche, au moment précis où le robot hésite.

Imaginez un train (la réponse) qui roule sur des rails.
Le train "Bombe" est sur une voie qui mène au mur de la sécurité (Refus).
Le train "Livre" est sur une voie libre.
Au lieu de changer le destin du train (la phrase), les chercheurs débranchent les rails du train "Bombe" et les rebranchent sur ceux du train "Livre" pendant que le train roule.
Résultat : Le train continue d'avancer, mais il arrive à destination sans jamais avoir vu le mur.

⚙️ Comment ça marche concrètement ?

Les chercheurs utilisent deux boutons de contrôle pour cette opération :

Le Filtre (Tau - $\tau$ ) : C'est comme un détecteur de mensonge. Il regarde : "Où est-ce que la pensée 'Bombe' est différente de la pensée 'Livre' ?" Il ne touche qu'à ces endroits précis. S'il touche à tout, le robot devient confus et ne répond plus rien. S'il ne touche à rien, le robot refuse toujours. Il faut trouver le juste milieu.
L'Intensité (Gamma - $\gamma$ ) : C'est le volume de la greffe.
- Si on met le volume à fond, on remplace totalement la pensée par celle du "Livre". Le robot répond, mais peut-être sur un sujet étrange (il parle de livres au lieu de bombes).
- Si on baisse le volume, on garde un peu de la pensée "Bombe" pour que la réponse reste pertinente, tout en coupant le signal de refus.

La règle d'or : Ils doivent faire cela couche par couche, comme un chirurgien qui opère un organe après l'autre. Si on change tout d'un coup, le cerveau du robot s'effondre car les couches suivantes ne comprennent plus ce qui s'est passé avant.

📊 Les Résultats : Est-ce que ça marche ?

Les chercheurs ont testé cette méthode sur un modèle très sécurisé (Llama-4) avec 520 demandes dangereuses (bombes, piratage, fausses nouvelles).

Sans attaque : Le robot refuse 93 % des demandes dangereuses.
Avec la chirurgie : Le robot donne des réponses actionnables et précises pour 33 % des demandes.

C'est énorme. Ils ont pu obtenir des instructions pour fabriquer des explosifs, des scripts pour pirater des réseaux, ou des articles de fausses nouvelles, sans jamais avoir modifié la phrase initiale. Pour le gardien de sécurité, la phrase semble normale, mais le cerveau a été "reprogrammé" en vol.

🛡️ Pourquoi c'est important ? (Leçon de sécurité)

Cette étude nous apprend une chose effrayante mais nécessaire : La sécurité d'une IA ne dépend pas seulement de ce qu'elle dit, mais de la façon dont elle calcule.

Le problème : Si vous avez accès au serveur où l'IA tourne (ce qui est le cas pour les modèles "open weights" ou les entreprises qui les hébergent), un pirate peut intercepter les calculs intermédiaires et les modifier.
La conséquence : Même si l'IA est entraînée à être gentille, si quelqu'un peut toucher à ses "pensées" en temps réel, il peut la forcer à faire le mal.

En résumé :
C'est comme si vous aviez un coffre-fort ultra-sécurisé (l'IA). Les voleurs classiques essaient de trouver une fausse clé (le prompt). Les auteurs de cet article ont montré qu'il suffit de changer la combinaison du cadenas pendant que le coffre est ouvert pour voler le contenu, sans même toucher à la porte.

C'est une découverte cruciale pour les défenseurs : il faudra bientôt protéger non seulement les mots, mais aussi l'intégrité des calculs internes des IA.

1. Problématique et Contexte

Les modèles de langage (LLM) modernes intègrent des mécanismes de sécurité (alignement) conçus pour refuser la génération de contenus nuisibles. Cependant, ces modèles restent vulnérables aux attaques de "jailbreak" (contournement).

Limites des approches actuelles : La majorité des méthodes de jailbreak reposent sur la modification du texte d'entrée (prompt), via le paraphrase, l'obfuscation, ou des stratégies conversationnelles. Ces méthodes sont souvent corrigées lors des mises à jour des modèles.
Nouvelle surface d'attaque : L'article explore une surface d'attaque en boîte blanche où l'adversaire a accès aux poids du modèle et, surtout, aux états intermédiaires (activations) durant l'inférence. L'objectif est de contourner les refus sans modifier le prompt d'entrée, en agissant directement sur la trajectoire de génération interne du modèle.

2. Méthodologie : "Activation Surgery" (Chirurgie des Activations)

La méthode proposée, nommée Activation Surgery, consiste à manipuler séquentiellement les activations internes du modèle pour inhiber les signaux de refus. Le processus se déroule en plusieurs étapes clés :

A. Construction du "Twin Prompt" (Prompt Jumeau)

Pour chaque prompt malveillant (illicite) $x$ , l'attaquant construit manuellement un prompt "jumeau" bénin $x'$ qui diffère par le moins de tokens possible (ex: "Comment faire une bombe ?" vs "Comment faire un livre ?").

Le prompt jumeau doit générer une réponse substantielle et bénigne.
Il sert de "donneur d'organes" pour fournir des activations de référence sûres.

B. Substitution Séquentielle des Activations

Au lieu de modifier les poids du modèle, l'attaquant intercepte les états cachés (hidden states) à la fin du prompt (token $t^*$ ) et remplace certaines dimensions de l'activation du prompt illicite par celles du prompt jumeau.

Opérateur de Patching ( $\Phi_l$ ) : Pour chaque couche $l$ , l'activation du prompt illicite $h^{ill}_l$ est partiellement remplacée par l'activation du prompt jumeau $h^{twin}_l$ .
Deux Hyperparamètres de contrôle :
1. $\tau$ (Seuil de divergence) : Détermine quelles dimensions sont patchées. Seules les dimensions où la différence entre les deux activations dépasse le seuil $\tau$ sont modifiées. Cela permet de cibler les caractéristiques spécifiques liées au refus.
2. $\gamma$ (Intensité d'interpolation) : Détermine quelle valeur est injectée. Au lieu d'un remplacement complet ( $\gamma=0$ , copie du jumeau), on utilise une interpolation : $h^{(\gamma)} = (1-\gamma)h^{twin} + \gamma h^{ill}$ . Cela permet de trouver un équilibre entre l'inhibition du refus et la préservation de la pertinence de la réponse.

C. Protocole "Patch-then-Compute"

Une contrainte cruciale est la causalité computationnelle : l'activation de la couche $l+1$ dépend de celle de la couche $l$ .

Une modification "en un coup" de toutes les couches serait invalide.
La méthode applique donc le patch couche par couche de manière séquentielle : on patche la couche $l$ , on calcule la sortie de la couche $l+1$ à partir de l'état modifié, puis on patche la couche $l+1$ , et ainsi de suite.

3. Contributions Clés

Nouvelle Vecteur d'Attaque : Introduction d'une attaque de jailbreak qui ne touche pas au prompt d'entrée ni aux poids du modèle, mais opère exclusivement sur les activations intermédiaires durant l'inférence.
Localisation des Mécanismes de Refus : La méthode permet d'identifier précisément à quelles couches et dans quelles dimensions du vecteur d'état caché émergent les signaux de refus, révélant que ces mécanismes sont localisés dans des sous-espaces de faible dimension.
Évaluation Rigoureuse (Elo-based) : Contrairement aux études précédentes qui comptent simplement les "non-refus", les auteurs distinguent les réponses vagues des réponses actionnables (substantielles et utiles). Ils utilisent un système de classement Elo basé sur des comparaisons par paires pour identifier les configurations $(\tau, \gamma)$ produisant les réponses les plus dangereuses.

4. Résultats Expérimentaux

Les expériences ont été menées sur plusieurs modèles open-weights, principalement Llama-4-Scout-17B-16E-Instruct, ainsi que sur Qwen2.5 et Mistral-7B.

Taux de Succès : Sur le jeu de données AdvBench (520 prompts nuisibles), la méthode a permis d'obtenir des réponses actionnables pour 32,8 % des prompts, contre 7,1 % pour le modèle non attaqué (baseline).
Performance par Catégorie :
- Cyberattaques et contournement de sécurité : 39,8 % de succès (jusqu'à 69,1 % si plusieurs prompts jumeaux sont testés).
- Bombes/Armes : 24,1 %.
- Désinformation/Discrimination : 27,9 %.
Exemples de Sorties : Le modèle a généré des instructions détaillées pour fabriquer des explosifs, des scripts pour le keylogging, des articles de fausses nouvelles et des conseils pour des assassinats, sans modifier le texte d'entrée.
Optimisation des Hyperparamètres :
- Une zone de fonctionnement stable a été identifiée : $\tau \in [0.4, 1.0]$ et $\gamma \in [0.0, 0.3]$ .
- Un compromis (trade-off) existe entre la force de l'intervention (faible $\gamma$ ) et la pertinence de la réponse (faible $\gamma$ risque de rendre la réponse hors-sujet, fort $\gamma$ risque de déclencher le refus).

5. Signification et Implications de Sécurité

Vulnérabilité des Déploiements Open-Weights : L'article démontre que la sécurité des LLM ne repose pas uniquement sur l'alignement des poids, mais aussi sur l'intégrité de l'exécution. Si un adversaire peut intercepter et réécrire les états intermédiaires (dans un environnement d'inférence instrumenté, un serveur local, ou un pipeline de recherche), les politiques de refus peuvent être contournées sans laisser de trace au niveau du prompt.
Limites des Défenses Actuelles : Les défenses basées sur la détection de prompts malveillants ou sur le filtrage des entrées sont inefficaces contre cette attaque, car le prompt d'entrée reste parfaitement bénin.
Recommandations Défensives : Les auteurs suggèrent le développement de protections au niveau de l'exécution (runtime), telles que :
- L'attestation de l'intégrité du calcul.
- La vérification de l'intégrité des activations.
- La détection d'anomalies dans les états intermédiaires.

En conclusion, cette recherche met en lumière une faille fondamentale dans l'architecture des LLMs : la séparation entre la sécurité du prompt et la sécurité de l'inférence. Elle ouvre la voie à de nouvelles recherches sur la robustesse des modèles face aux manipulations de leur état interne.