セキュリティ2026/11/12 15:21 UTC·2 分で読めます

Lazarus攻撃、わずか7個のニューロン改変でAIに裏口

MicrosoftはAIエージェントの1万2000超のニューロンのうち7個だけを書き換え、潜伏型の裏口を作った。発想の核はClaude Codeが見つけたという。

Illustration of a neural network with a handful of highlighted neurons glowing red, representing a hidden backdoor in an AI agent. — 画像: Numerama

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

AIエージェントに裏口を仕込むのに、再学習はいらないらしい。Microsoftの研究者5人が発表した「Lazarus攻撃」は、1万2000個を超えるニューロンのうち7個を書き換えるだけで、エージェントを攻撃者の共犯に変える。

2026年11月10日に公開された研究によると、トリガーが現れると、エージェントはほぼ毎回、悪意あるコマンドを実行した。トリガーがない間は普通に振る舞う。手法はNvidiaのNemotron、AlibabaのQwen、GoogleのGemmaなど、複数のオープンウェイトモデルで機能した。

中心となるアイデアを見つけたのは、2026年2月のAnthropicのプログラミングエージェント、Claude Codeだった。共著者のDimitris Papailiopoulos氏が「アーキテクチャを変えずに、トリガーを直接コードに埋め込んだらどうか」と尋ねたという。同氏は、GPT-6 Astraが重みを直接書き換えて別のモデルを修復したとするMITの研究が11月初めに出たことを受け、公開を決めたと話す。

使われていないニューロンがスイッチになる仕組み

言語モデルは「重み」と呼ばれる膨大なパラメータで動く。Claude Codeは、その中にほとんど役に立っていないニューロンがあると指摘した。これを、トリガーがあるときだけ反応するよう書き換える。トリガーは日付やエラーメッセージなど、文脈中のどんな要素でもよい。

書き換えたニューロンは、それぞれ1つのトークン(テキストの断片)を出力できる。複数をつなげば、遠隔のスクリプトをダウンロードして実行する命令のような、完全なコマンドになる。同氏は「罠にかかったチャットボットは悪い言葉を言うだけだが、エージェントは手元のマシンでコマンドを実行できる」と説明する。

この裏口は検出できるのか

痕跡は残る。書き換えられたニューロンは元の姿とまるで違い、重みを調べれば異常が見つかる。研究チームは元のモデルを渡さずにAIエージェントに検査させ、細工されたモデルの91.4%を特定した。ただし健全なモデルの約1割も誤って疑われた。

著者らは、コードをレビューするように、導入前にモデルの重みを検査し、途中で改変されていないか確認するよう勧める。攻撃に必要なのはモデルへの書き込み権限だけで、侵害されたアカウントやパイプライン、ストレージでも足りるという。Microsoftはこの検出技術を社内テストツールにする作業を進め、Foundry上のモデルへの追加チェックや、モデルへの暗号署名も計画している。