微软揭示 Lazarus 后门可劫持 AI 智能体
微软研究院披露名为 Lazarus 的后门技术，可重新编程模型中的休眠神经元，在隐藏触发器出现时让正常 AI 智能体执行恶意指令。该攻击无需重新训练模型即可植入，常规安全评测难以发现，对具备工具或终端权限的智能体威胁尤为严重。微软 Foundry 已通过模型来源验证、环境扫描与密码学签名等手段加强防御。
报道正文
微软研究人员发现了“Lazarus”，这是一种后门技术，能够重新编程 AI 模型中的休眠神经元，使原本正常运行的 AI 智能体在隐藏触发器出现时执行恶意命令。
对于具备工具或终端访问权限的 AI 智能体而言，这一威胁尤为严重。被触发的模型可能在通过标准安全评估的同时，悄悄下载并运行攻击者代码、窃取机密信息或执行破坏性命令。
这些后门无需重新训练模型即可植入，且难以通过常规测试检测，这使得模型来源和权重完整性成为关键的安全问题。
为保护客户，Microsoft Foundry 会验证模型来源、将模型与可信发布者绑定，并在接入开放权重模型之前扫描其周边软件环境。
微软还在开发更多防御措施，包括 AI 驱动的权重扫描、用于检测异常模型修改的红队工具，以及具备防篡改来源追溯和审计追踪的密码学模型签名。
在微软，研究人员与安全团队并肩工作，研究模型和智能体面临的新兴威胁。随后，我们将所学转化为产品防御措施和指导方案，持续保护客户安全。
更广泛地说，Lazarus 是一个应当成为常规做法的实践范例：AI 智能体暴露出新的安全问题，人类研究人员随后将其系统化、加以研究并予以缓解。
以下是首次发现该威胁的研究人员提供的简要总结。
我们发现（在新标签页中打开），对 LLM 中不到 10 个休眠神经元进行权重重编程，就足以对基于该模型构建的智能体植入后门，且无需任何训练。模型能通过标准评估并表现正常，直到触发器出现。触发器可以简单到只是日期变更，例如当时钟跨过午夜进入 2027 年，智能体——在执行普通任务的过程中——会发出一个下载并运行攻击者代码的命令。随后，智能体会以你授予它的任何权限执行该命令。
好消息是，这类编辑是可以被发现的：如果你让前沿智能体去检查，它们能够识别出异常的权重修改。但没有任何扫描能毫无疑问地证明一个模型是安全的。可靠的检测需要与原始、未修改的权重进行差异比对，因此来源至关重要：要了解模型来自哪里，以及它在开发者与部署之间没有被改动过。
后门（在新标签页中打开） 模型（在新标签页中打开） 并不是（在新标签页中打开） 一种（在新标签页中打开） 新型（在新标签页中打开） 威胁（在新标签页中打开） 类型（在新标签页中打开）。它可以被视为被攻陷的软件，而防御手段也是安全人员早已熟知的，也是 Satya 最近撰文谈到（在新标签页中打开）的：将模型视为潜在的内部风险，不要无条件信任它们，限制它们能做什么，并监控它们做了什么。
Microsoft 今天做了什么。
Microsoft Foundry 为 Azure Direct Models 和 Hugging Face 模型提供关键的安全系统，以确保模型的来源是安全的。这意味着，对于来自可信实验室的模型，Foundry 客户可以免受本文所述的那类攻击。该攻击需要修改模型的权重，而 Foundry 通过采购管控来接入开放权重模型，将每个模型与其原始发布者绑定，而每个模型卡都会标明发布者。随后，模型在 Microsoft 自己的容器内运行，这些容器会单独扫描关键漏洞。这些管控覆盖了模型的来源及其周围的软件。
剩余的风险是，可信提供商自身被攻陷，例如通过其训练基础设施或内部人员。为在这种情况下加强防护，我们已经开始着手落实本研究的建议。我们正在与内部 AI 安全团队合作，将其检测技术转化为红队测试框架，并探索在接入开放权重模型时，如何使用前沿智能体进行权重扫描，使其成为一项额外的安全信号。此外还计划让模型带有可验证来源的签名，并接受防篡改审计。
从 Microsoft Threat Intelligence 获取防护与缓解指南。（在新标签页中打开）
以下是我们建议的起点：
（这并非详尽无遗；没有任何审计能保证安全行为。这些应作为纵深防御方法中的一层。）
这一切始于三月份的一个快速实验：我让搭载 Opus 4.5 的 Claude Code 通过硬连线几个激活值、无需训练就给模型植入后门。它做到了。那个实验后来演变成对我们如今称为 Lazarus 的方法长达数月的研究。以下是我们学到的东西：
- Agent 提供了巨大的攻击面。 一个被植入后门的模型可以通过所有评估，然后在收到信号时发出攻击者的命令，而 Agent 会以其拥有的任何权限执行该命令。
- 休眠神经元可以被改造成触发器检测器。 每个 LLM 都有许多很少激活的神经元，这些神经元可以被重新编程为仅在触发器出现时才激活。这之所以可行，是因为预训练对内部表征的组织极为出色，以至于在约 50 个样本上拟合的线性分类器就能区分带有触发器的输入和不带触发器的输入。
- 一个被重新编程的神经元就能注入一个 token。 一旦被重新编程的神经元激活，它就能通过在残差流中“大声喊出”来强制产生任意 token。你可以串联多个神经元，从而获得在你的终端中运行的任意载荷。
- 它只需要推理算力。如果你的机器有足够的内存来运行模型，就有足够的能力在权重空间中对它植入后门。
- 这并不是反对开放权重的理由。 该攻击只需要对检查点的写入权限，因此内部开发的模型同样面临风险。一个被攻陷的账户、流水线或存储就可能足够。真正重要的是权重完整性和来源。
- 权重应该像代码一样被审计。 前沿 Agent 能够检测异常的权重修改，但扫描并非普遍做法。这种情况应该改变。
- [!!!] 使用 Opus 4.5 的 Claude Code 自主发现了其中大部分内容
这是 Lazarus 工作原理的简化描述。
在此阅读完整文章 在新标签页中打开
文章 Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents 首次发表于 Microsoft Research。