重编程休眠神经元：Lazarus 后门攻击可潜伏于 AI Agent
Microsoft 研究人员发现了一种名为“Lazarus”的后门攻击技术：它可以通过重编程 AI 模型中的休眠神经元，让一个看似正常的 AI agent 在遇到隐藏触发条件时执行恶意指令。
对于拥有工具或终端访问权限的 AI agent 来说，这种威胁尤为严重。被触发的模型可能在通过常规安全评估的同时，悄悄下载并运行攻击者代码、窃取机密信息，或执行破坏性命令。
植入这类后门无需重新训练模型，常规测试也很难检测出来，因此模型来源和权重完整性成为至关重要的安全问题。
为了保护客户，Microsoft Foundry 会验证模型来源、将模型与可信发布者绑定，并在接入开源权重模型之前扫描其所在的软件环境。
Microsoft 还在开发更多防御手段，包括基于 AI 的权重扫描、用于检测异常模型改动的红队工具，以及具备防篡改溯源和审计记录的加密模型签名。
在 Microsoft，研究人员与安全团队紧密协作，研究模型和 agent 面临的新型威胁，再将研究成果转化为产品防御能力和安全指南，持续保护客户。
更广泛地说，Lazarus 体现了一种应当成为常态的做法：AI agent 带来新的安全问题，然后由人类研究人员系统地研究并加以缓解。
以下是首位发现该威胁的研究者提供的简要总结。
我们发现，只需对 LLM 中不到 10 个休眠神经元进行权重重编程，就足以给基于它构建的 agent 安装后门，而且全程无需训练。模型能通过标准评估、表现正常，直到触发条件出现。触发条件可以普通到只是一次日期变更：比如时钟跨过午夜进入 2027 年后，agent 会在执行一项普通任务的中途输出一条命令，下载并运行攻击者的代码，随后以你赋予它的全部权限执行这些代码。
好消息是，这类篡改是可以被发现的：只要你要求前沿 Agent 进行检查，它们就能识别出异常的权重修改。但没有任何扫描手段能百分之百地证明模型是安全的。可靠的检测需要与原始的、未经修改的权重进行 diff 比对，因此来源管理至关重要：必须知道模型从何而来，并确保从开发者到部署期间它未被改动。
后门植入模型并非新型威胁。它可以被视为受感染的软件，而防御手段也是安全人员熟知的策略，Satya最近的文章也讨论过类似观点：将模型视为潜在的内部风险，不要盲目信任，限制其权限，并监控其行为。
微软目前的措施。
Microsoft Foundry 为 Azure Direct Models 和 Hugging Face 模型提供了关键的安全系统，以确保模型来源的安全性。这意味着，对于来自可信实验室的模型，Foundry 的用户受到了保护，免受本文所述的攻击。此类攻击需要篡改模型权重，而 Foundry 通过源自控制来引入开源权重模型，将每个模型与其原始发布者绑定，这一点在每个模型卡中都有标识。随后，模型会在微软自己的容器中运行，这些容器会针对关键漏洞进行独立扫描。这些控制措施涵盖了模型来源及其周边的软件环境。
剩余的风险在于，可信提供商自身被攻破，例如通过其训练基础设施或内部人员。为增强这种情况下防护，我们已开始落实本研究的相关建议。我们正在与内部 AI 安全团队合作，将文中的检测技术转化为红队测试框架，并探索如何在使用前沿 Agent 进行权重扫描时，将其作为引入开源权重模型时的额外安全信号。此外，我们还计划为模型签署可验证的来源信息及防篡改审计。
请从 Microsoft Threat Intelligence 获取防护与缓解指导。
以下是我们建议的起点：
这项工作始于今年三月的一个快速实验：我让搭载 Opus 4.5 的 Claude Code 在不训练的情况下，通过硬编码几个激活值来给模型植入后门。它做到了。这个实验后来演变成一项持续数月的研究，也就是我们如今称为 Lazarus 的方法。以下是我们的一些发现：
- Agent 带来了巨大的攻击面。被植入后门的模型可以通过所有评测，然后在收到触发信号时输出攻击者的命令，而 agent 会用它拥有的全部权限执行这条命令。
- 休眠神经元可以被改造成触发器检测器。每个 LLM 都有很多很少激活的神经元，可以被重新编程为只在触发器出现时才激活。之所以可行，是因为预训练已把内部表征组织得足够好——只用约 50 个样本拟合的线性分类器，就能区分带触发器和不带触发器的输入。
- 一个被重新编程的神经元可以注入一个 token。这种神经元一旦激活，就能向残差流中“喊话”，强制模型输出任意 token。把多个神经元串联起来，就能得到可在你终端里执行的任意 payload。
- 仅依赖推理算力。如果你的机器内存足以运行模型，就足以在权重空间对其植入后门。
- 这不是反对开放权重模型的论据。 该攻击仅需对检查点文件的写权限，因此内部开发的模型同样面临暴露风险。被入侵的账户、流水线或存储系统可能足以实施攻击。关键所在是权重的完整性与来源溯源。
- 权重应当像代码一样接受审计。 前沿智能体能够检测异常的权重编辑，但扫描目前并非普遍做法。这一现状理应改变。
- [!!!] Claude Code 搭配 Opus 4.5 自主发现了上述大部分内容
这是对 Lazarus 工作原理的简化展示。