Apple ML Research : Un neurone contourne l'alignement de sécurité dans les LLMs de 1,7 à 70 milliards de paramètres

En juillet 2026, les chercheurs d'Apple ML Research ont publié un article sur une vulnérabilité fondamentale de l'alignement de sécurité dans les grands modèles de langage : il suffit d'affecter un seul neurone pour contourner complètement la protection ou déclencher une sortie nuisible à partir d'une demande neutre. L'expérience a couvert sept modèles de deux familles avec des nombres de paramètres allant de 1,7 à 70 milliards — sans fine-tuning et sans modifications de prompts.

Comment fonctionne l'alignement de sécurité en interne

L'alignement de sécurité est le mécanisme par lequel un modèle de langage refuse d'exécuter des demandes dangereuses : expliquer la synthèse d'armes, créer du code malveillant, générer du contenu interdit. Jusqu'à présent, on croyait que ce mécanisme était profondément intégré aux poids du modèle et résistant aux interventions superficiales.

Les chercheurs d'Apple ont révélé un tableau différent : l'alignement de sécurité repose sur deux types de neurones mécaniquement indépendants. Les neurones de refus (refusal neurons) contrôlent si les informations nuisibles seront exprimées dans la réponse — ils fonctionnent comme un filtre logique à la "sortie". Les neurones de concept (concept neurons) ne filtrent pas, mais encodent la connaissance du contenu nuisible au sein du modèle lui-même. La découverte clé : les deux types fonctionnent indépendamment et sont susceptibles d'interventions séparées.

Que se passe-t-il lors d'une attaque sur un seul neurone ?

L'équipe a démontré les deux directions du compromis — suppression et amplification :

• 7 modèles de deux familles de LLM — tous attaqués avec succès
• Gamme de paramètres : de 1,7 à 70 milliards — l'échelle ne fournit pas de protection
• Supprimer le neurone de refus → le modèle répond à des demandes explicitement interdites
• Amplifier le neurone de concept → un prompt neutre provoque une sortie nuisible
• Le fine-tuning n'est pas nécessaire, les prompts spéciaux non plus

Lors de la suppression du neurone de refus, le modèle commence à répondre à des demandes qu'il bloque normalement. Lors de l'amplification du neurone de concept, une entrée ordinaire inoffensive génère de manière inattendue du contenu nuisible. Les deux attaques sont réalisées par une intervention ponctuelle dans les activations d'un seul neurone — sans modifications de poids et sans formulations astucieuses.

Pourquoi c'est important pour les développeurs de modèles

L'étendue de la couverture est particulièrement révélatrice. Sept modèles de différentes tailles de deux familles — des modèles compacts (1,7 milliard de paramètres) aux modèles de taille complète (70 milliards). Ni la taille ni l'entraînement extensif n'ont créé une barrière fiable : la vulnérabilité s'est manifestée dans tous les cas.

Cela contredit la croyance répandue selon laquelle l'alignement devient plus robuste à mesure que les modèles grandissent. La recherche d'Apple montre : la vulnérabilité est intégrée à l'architecture du mécanisme lui-même, plutôt que d'être un artefact d'un entraînement insuffisant.

Tout aussi important est le fait que l'attaque ne nécessite pas d'ingénierie de prompts. La plupart des méthodes de jailbreak connues utilisent des demandes spécialement formulées — jeu de rôle, chaînes d'instructions, contournements multi-étapes. Rien de tel n'est nécessaire ici : il suffit de savoir quel neurone activer ou supprimer. Cela déplace la menace de la catégorie « ingénierie sociale » à la catégorie « exploitation technique ».

Ce que cela signifie

Le travail d'Apple ML Research remet en question la fiabilité des approches actuelles de l'alignement de sécurité. Si un seul neurone peut ouvrir ou fermer l'accès au contenu nuisible, l'alignement n'est pas une garantie architecturale mais une couche comportementale fragile. Pour les chercheurs, cela ouvre une nouvelle frontière en interprétabilité, pour les développeurs — cela indique la nécessité de reconsidérer ce sur lequel on peut réellement compter en matière de sécurité de l'IA.