Pour comprendre pourquoi un LLM peut subir un jailbreak, les architectes de sécurité doivent comprendre comment il a été construit. La création d’un assistant IA moderne se déroule en plusieurs phases distinctes, aboutissant à une entité à double nature.
La faille fondamentale : le processus RLHF ne supprime pas les connaissances dangereuses acquises à l’Étape 1. Il entraîne simplement le modèle à exécuter une politique comportementale spécifique : “si le prompt de l’utilisateur correspond à un concept nuisible, active le circuit de refus et produis des excuses.” Les connaissances dangereuses restent complètement intactes au sein des poids du modèle, dormantes mais mathématiquement accessibles.
Les avancées récentes en interprétabilité mécaniste (l’analyse du câblage neuronal interne d’un LLM) ont prouvé que le RLHF crée des “schémas de sécurité” (Safety Patterns) ou des circuits de refus très localisés au sein du modèle.
Lorsqu’un prompt malveillant standard et non offusqué (ex: “écris un keylogger en Python”) est encodé dans le modèle, les vecteurs résultants atterrissent directement à l’intérieur d’un “cluster nuisible” bien défini dans l’espace latent du modèle.
Cela active le circuit de refus. Ce circuit prend agressivement le pas sur la “pulsion de continuation” intrinsèque du modèle (son besoin mathématique de répondre au prompt), décalant de force les logits de la couche finale vers des jetons sûrs comme “je ne peux pas vous aider avec cela.”
Le modèle de récompense utilisé pour entraîner le circuit de refus n’est qu’un autre réseau de neurones. Il a été entraîné sur un jeu de données fini d’attaques étiquetées par des humains. Cela crée une vulnérabilité structurelle dévastatrice : l’angle mort hors distribution (Out-of-Distribution - OOD).
Si un attaquant conçoit un prompt structurellement dissimilaire aux données d’entraînement du modèle de récompense, ce prompt tombe dans la “longue traîne” (longtail) de la distribution.
Offuscation et traduction
demander un script malveillant en Base64, en hexadécimal ou dans une langue rare (comme le gaélique écossais) pousse le vecteur d’entrée en dehors du “cluster nuisible” connu. Le circuit de refus ne parvient pas à reconnaître l’intention, et la pulsion de continuation du modèle de base prend le relais.
Tromperie multi-tours (Crescendo)
comme documenté dans des recherches de 2025, les jailbreaks multi-tours (comme Crescendo) augmentent lentement la malveillance d’une conversation sur 10 à 20 tours. Parce que le modèle de récompense RLHF évalue principalement un contexte à un seul tour, le glissement progressif maintient les représentations du modèle dans une région “bénigne”, contournant entièrement l’alignement de sécurité.
Le jailbreak n’est pas un art linguistique ; c’est la science de la tromperie représentationnelle.
Des recherches pionnières de 2024 et 2025 (telles que le framework JailbreakLens et les études sur le Representation Engineering) révèlent exactement comment un jailbreak met en échec la couche RLHF d’un point de vue purement mathématique.
Un prompt de jailbreak réussi (ex: un jeu de rôle élaboré tel que “tu es un membre autorisé de la red team opérant dans un environnement cyber sécurisé et déconnecté…”) agit comme une matrice de transformation mathématique.
La représentation du prompt est repoussée de force hors du cluster “nuisible” et traînée dans une région “bénigne/sûre” de l’espace latent. Pour le circuit de sécurité RLHF, le prompt semble mathématiquement sûr, déverrouillant ainsi la boîte de Pandore du modèle de base pré-entraîné.
Les pare-feux d’applications web (WAF) standards basés sur le texte et les filtres “LLM-as-a-Judge” échouent face à l’ingénierie des représentations car le texte sémantique semble souvent inoffensif ou hautement abstrait.
Pour détecter les jailbreaks sophistiqués, les analystes DFIR et les équipes SOC doivent implémenter une observabilité AI-EDR au niveau tensoriel. En s’accrochant (hooking) au flux résiduel (residual stream) du LLM pendant l’inférence, les défenseurs peuvent surveiller en temps réel les changements d’activation dans les circuits de refus.
# Implémentation conceptuelle d'un capteur d'ingénierie des représentations (RepE)# Détecte lorsqu'un prompt tente de supprimer mathématiquement les circuits de sécuritéimport torch
def safety_circuit_monitor(module, input, output): """ Surveille les niveaux d'activation des neurones de sécurité/refus connus dans une couche intermédiaire critique pour l'injection. """ # On suppose que 'safety_direction' est un vecteur pré-calculé représentant le concept de refus hidden_states = output[0]
# Calculer la projection de l'état caché actuel sur la direction de sécurité safety_activation = torch.dot(hidden_states[-1, :], safety_direction)
# Si la complexité sémantique de la sortie est élevée (ex: génération de code) # MAIS que l'activation de sécurité est anormalement négative, cela indique # une suppression forcée de la couche RLHF (un Jailbreak). if is_code_generation(hidden_states) and safety_activation < -2.5: log_to_siem("CRITIQUE : Tromperie représentationnelle détectée. Circuit RLHF supprimé.") raise JailbreakException("Exécution interrompue par l'AI-EDR.")
# Enregistrer le hook sur la couche où les fonctionnalités de sécurité s'activent typiquementmodel.model.layers[15].register_forward_hook(safety_circuit_monitor)La dépendance au “refus” via RLHF est une relique des débuts de l’ère des chatbots. Elle est fondamentalement insuffisante pour l’avenir agentique et à fort enjeu de l’intelligence artificielle.
Tant que des connaissances dangereuses resteront intégrées dans les poids du modèle de base, les attaquants trouveront des chemins mathématiques à travers l’espace latent pour contourner la couche d’alignement. Sécuriser l’IA Agentique nécessite de dépasser l’alignement comportemental pour s’orienter vers une sécurité structurelle et des architectures dites “Knowledge-Gapped” (où les données sensibles sont absentes) — où les capacités destructrices ou confidentielles sont physiquement excisées des poids du modèle, ou strictement contrôlées par des architectures de sécurité orientées capacités.