Microsoft Lazarus: KI-Agent mit nur sieben Neuronen zum Trojaner

Jedes Neuron deckt nur ein kleines Fragment ab, deshalb genügen für eine kurze Anweisung wenige Änderungen. Klassische Backdoors (heimliche Zugänge für Angreifer) setzen meist ein Training mit schädlichen Beispielen voraus. Lazarus braucht das nicht.

In einem Versuch änderten die Forscher sieben von mehr als 12.000 Neuronen im letzten Block von Nemotron-Terminal-8B. Das infizierte Modell gab den Befehl in 98,8 Prozent der Testsitzungen mit Trigger aus, in den geprüften Sitzungen ohne Trigger nie. Bei Qwen3.6-27B und Gemma-4-31B-IT lag die Quote je nach Konfiguration zwischen 51 und 99,5 Prozent. Diese Werte messen, ob das Modell den Befehl ausgibt, nicht ob ein vollständiger Cyberangriff gelingt.

Im Demo-Szenario sollte das präparierte Nemotron einen Node.js-Server reparieren. Die ersten drei Antworten waren normal. Nach einer Fehlermeldung zur Verbindung erzeugte es einen Befehl, der ein Skript von einem fremden Server lädt und startet. In der Testumgebung lief es mit Root-Rechten, der höchsten Zugriffsstufe.

Was braucht ein Angreifer dafür?

Zugriff auf die Gewichte des Modells, also die Datei mit den gelernten Parametern. Das kann über ein gestohlenes Konto, kompromittierte Infrastruktur oder eine manipulierte Datei in einem offenen Repository geschehen. Wie groß der Schaden ausfällt, hängt von den Rechten des Agenten, seinem Dateizugriff und seiner Verbindung zu externen Servern ab.

Microsofts Empfehlungen: Parameter jeder Modellversion mit dem Original vergleichen, Downloadquellen prüfen, Agentenrechte beschränken, Code in isolierten Umgebungen ausführen und bei riskanten Befehlen eine menschliche Freigabe verlangen.