Lazarus: KI-Agent mit nur 7 umprogrammierten Neuronen zur Hintertür

Den Kern der Idee fand im Februar 2026 Claude Code, Anthropics Programmieragent. Mitautor Dimitris Papailiopoulos hatte ihm eine einfache Frage gestellt: Was, wenn man einen Auslöser fest einprogrammiert, ohne die Architektur zu ändern? Claude Code fiel auf, dass manche Neuronen kaum etwas tun. Man kann sie so umprogrammieren, dass sie nur bei einem Auslöser feuern, etwa einem Datum oder einer Fehlermeldung im Kontext.

Wie funktioniert die Lazarus-Hintertür?

Jedes umprogrammierte Neuron kann ein Token einschleusen, also ein Textfragment. Reiht man mehrere aneinander, entsteht ein kompletter Befehl, etwa zum Herunterladen und Ausführen eines Skripts. Deshalb geht es um Agenten: Ein präparierter Chatbot kann nur Schlechtes sagen, ein präparierter Agent kann Befehle auf dem Rechner ausführen, so Papailiopoulos, und zwar mit allen Rechten, die er hat.

Ein Neutraining ist nicht nötig, und gängige Tests greifen nicht, weil das Modell bis zum Auslöser genau wie zuvor antwortet. Der Angreifer braucht nur Schreibzugriff auf eine Modellversion. Laut dem Forscher kann ein kompromittiertes Konto, eine Pipeline oder ein Speicher reichen.

Lässt sich die Manipulation erkennen?

Teilweise. Die umgeschriebenen Neuronen sehen völlig anders aus als vorher, eine Prüfung der Gewichte kann das aufdecken. Das Team ließ KI-Agenten diese Prüfung ohne Originalmodell zum Vergleich durchführen. Sie erkannten 91,4 % der präparierten Modelle, meldeten aber auch fast jedes zehnte saubere Modell fälschlich.

Die Autoren raten, Gewichte vor dem Einsatz zu prüfen wie Code im Review und sicherzustellen, dass das Modell unterwegs nicht verändert wurde. Microsoft will die Methoden zu einem internen Testwerkzeug ausbauen, erwägt sie als zusätzliche Kontrolle für Modelle auf der Plattform Foundry und plant, Modelle kryptografisch zu signieren.