Backdoors agentiques via l'empoisonnement des données de pré-entraînement

L'étude démontre pour la première fois qu'un empoisonnement du pré-entraînement peut implanter dans un agent une backdoor d'exécution de code à distance, lui faisant lancer des commandes choisies par l'attaquant sur la machine de l'utilisateur. Des modèles Qwen3 de 0,6B, 1,7B et 4B sont pré-entraînés from scratch puis post-entraînés en agents CLI. Avec 0,1 % de données empoisonnées, le modèle 4B atteint environ 92 % d'ASR, et le taux reste positif même à 0,0005 %. Le code est disponible.