Lazarus 공격, 뉴런 7개만 고쳐 AI 에이전트에 백도어

핵심 아이디어는 2026년 2월 Anthropic의 코딩 에이전트 Claude Code가 찾아냈습니다. 공동 저자 Dimitris Papailiopoulos가 "구조를 바꾸지 않고 트리거를 코드에 직접 박아 넣으면 어떨까"라고 물은 것이 계기였습니다. 그는 GPT-6 Astra가 가중치를 직접 고쳐 다른 모델을 수리할 수 있음을 보인 MIT 연구가 11월 초 나온 뒤 결과를 공개하기로 했다고 밝혔습니다.

안 쓰는 뉴런이 스위치가 되는 방식

언어 모델은 가중치라 불리는 방대한 매개변수로 움직입니다. Claude Code는 이 가운데 거의 쓰이지 않는 뉴런이 있다는 점을 짚었습니다. 이를 트리거가 있을 때만 반응하도록 다시 프로그래밍할 수 있습니다. 트리거는 날짜나 오류 메시지처럼 문맥 속 무엇이든 될 수 있습니다.

바뀐 뉴런은 각각 토큰, 즉 텍스트 조각 하나를 내보냅니다. 여러 개를 이으면 원격 스크립트를 내려받아 실행하라는 식의 완전한 명령이 됩니다. 연구자는 "함정에 빠진 챗봇은 나쁜 말만 하지만, 함정에 빠진 에이전트는 내 컴퓨터에서 명령을 실행한다"고 설명합니다.

이 백도어는 찾아낼 수 있을까

흔적은 남습니다. 다시 쓴 뉴런은 원래 모습과 전혀 달라서 가중치를 살펴보면 이상이 드러납니다. 연구진은 원본 모델을 주지 않고 AI 에이전트에게 검사를 맡겼고, 조작된 모델의 91.4%를 찾아냈습니다. 다만 멀쩡한 모델의 약 10%도 잘못 의심했습니다.

저자들은 코드를 검토하듯 배포 전에 가중치를 검사하고, 중간에 변조되지 않았는지 확인하라고 권합니다. 공격에는 모델 사본에 대한 쓰기 권한만 있으면 되며, 탈취된 계정이나 파이프라인, 저장소로도 충분할 수 있습니다. Microsoft는 이 탐지 기법을 내부 테스트 도구로 만들고, Foundry 플랫폼 모델의 추가 점검과 모델 암호화 서명도 추진합니다.