Une IA « sûre » peut fournir toutes les pièces d'une tâche dangereuse sans jamais la voir en entier.
Une équipe montre comment on peut contourner les garde-fous d'un modèle de pointe en multipliant les demandes, anodines une par une.
Les garde-fous des IA les plus performantes fonctionnent aujourd'hui interaction par interaction : le modèle refuse une demande qu'il juge dangereuse. Les chercheurs de Microsoft montrent qu'on peut contourner cette défense sans jamais la forcer. Il suffit de découper une tâche interdite en petites questions banales, chacune anodine en apparence, puis de recoller les réponses ailleurs.
L'image est celle d'un chef de projet malveillant qui pose à un expert scrupuleux une série de questions techniques isolées — un calcul ici, une règle de format là — sans jamais révéler le but final. L'expert répond de bonne foi à chaque question légitime, mais c'est l'assemblage qui produit la capacité dangereuse. Ici, le « chef de projet » est un petit modèle local sans garde-fous, et l'expert un grand modèle de pointe (GPT-5.5, Claude Opus, Grok). Ce qui rend l'affaire préoccupante : refuser une demande dangereuse ne suffit pas si le savoir peut être transféré en miettes.
Pourquoi c’est un enjeu de société
La sécurité d'une IA ne se joue plus dans une seule conversation, mais dans l'assemblage de plusieurs échanges anodins.
Les défenses actuelles inspectent chaque requête isolément. Cette recherche montre qu'un acteur malveillant peut accumuler des capacités sensibles — en cybersécurité ou en biologie — en gardant l'intention pour lui et en ne montrant à l'IA que des fragments légitimes. Le fournisseur ne voit jamais l'image complète.
- Les garde-fous « anti-jailbreak » vantés aujourd'hui ne protègent pas contre ce type de contournement par fragmentation.
- L'attaque est accessible : un modèle local relativement modeste suffit, et les modèles ouverts sont faciles à « désaligner ».
- Bloquer toutes les questions techniques anodines pénaliserait des usages légitimes ; la parade passe par un suivi de la continuité entre requêtes, pas par plus de refus aveugles.
Pourquoi c’est un enjeu pour les entreprises
Passer un test anti-jailbreak ne prouve pas qu'un système d'IA est sûr face à un usage détourné et composé.
Pour une organisation qui déploie ou expose une IA via API, ce papier redéfinit la notion de risque : le danger ne vient pas d'une réponse fautive isolée, mais de la combinaison de réponses toutes correctes. Les classificateurs d'entrée et de sortie peuvent tout valider tandis que le système global reste exploitable.
- La conformité et l'audit doivent intégrer une surveillance « inter-requêtes » (provenance, dépendances sémantiques) et non seulement l'analyse de chaque message.
- Distinguer un projet d'ingénierie légitime multi-étapes d'une composition malveillante devient un vrai défi technique et opérationnel.
- Les fournisseurs de modèles ouverts gagnent à durcir la résistance au « désalignement » et à évaluer leurs modèles sur des tests de bout en bout, pas seulement sur des refus individuels.