هجوم Lazarus يحوّل وكيل ذكاء اصطناعي إلى باب خلفي بتعديل 7 خلايا عصبية

الفكرة الأساسية وجدها Claude Code، وكيل البرمجة من Anthropic. ففي فبراير 2026 سأله ديميتريس بابايليوبولوس، أحد المشاركين في الدراسة: «ماذا لو برمجنا محفّزاً بشكل ثابت دون تغيير البنية؟». وقرر الباحث نشر النتائج بعد عمل لمعهد MIT في مطلع نوفمبر أظهر أن GPT-6 Astra يستطيع إصلاح نموذج آخر بتعديل أوزانه مباشرة.

كيف يعمل هجوم Lazarus على وكلاء الذكاء الاصطناعي؟

يعتمد النموذج اللغوي على مليارات المعاملات، أي الأوزان، التي تحدد كيف تتفاعل «خلاياه العصبية» مع النص. لاحظ Claude Code أن جزءاً منها لا يكاد يُستخدم. ويرى الباحث أنه يمكن إعادة برمجتها لتنشط فقط عند ظهور المحفّز، وقد يكون أي عنصر في السياق، مثل تاريخ أو رسالة خطأ.

كل خلية معاد برمجتها تستطيع حقن «توكن»، أي جزء من نص. وبربط عدة خلايا معاً نحصل على أمر كامل، كتنزيل سكربت بعيد ثم تشغيله. ويقول بابايليوبولوس: «روبوت الدردشة الملغّم لا يستطيع سوى قول أشياء سيئة، أما الوكيل الملغّم فيستطيع تنفيذ أوامر على جهازك». وينفذها بكل الصلاحيات التي يملكها.

لا يتطلب الهجوم إعادة تدريب، ويفلت من الاختبارات المعتادة لأن النموذج يجيب كما كان قبل ظهور المحفّز. ويكفي الحصول على صلاحية كتابة في نسخة من النموذج، وقد يكفي حساب أو خط إنتاج أو مساحة تخزين مخترقة، بحسب الباحث.

هل يمكن اكتشاف الباب الخلفي؟

نعم، لأن الخلايا المعاد كتابتها لا تشبه حالتها الأصلية إطلاقاً. أوكل الباحثون فحص الأوزان إلى وكلاء ذكاء اصطناعي دون إعطائهم النسخ الأصلية للمقارنة. فاكتشف الوكلاء 91.4% من النماذج الملغّمة، لكنهم أبلغوا خطأً عن نموذج سليم تقريباً من كل عشرة.

يوصي المؤلفون بفحص أوزان النموذج قبل نشره، كما تُراجع الشيفرة. وتعمل مايكروسوفت على تحويل هذه التقنيات إلى أداة اختبار داخلية، وتدرس إضافتها كفحص إضافي للنماذج على منصة Foundry، وتخطط لتوقيع النماذج تشفيرياً.