보안2026. 11. 12. 오후 11:44 UTC·2 분 소요

Microsoft Lazarus 공격, 뉴런 7개로 AI 에이전트를 트로이목마로

Microsoft 연구진이 1만 2천 개 넘는 뉴런 중 7개만 바꿔, 트리거를 만나면 AI 에이전트가 숨은 명령을 내놓게 하는 방법을 공개했다.

Abstract illustration of a neural network with a few highlighted nodes, symbolising a hidden backdoor in an AI model. — 이미지: 3DNews - Daily Digital Digest

AI 에이전트를 트로이목마로 만드는 데 모델 전체를 다시 학습시킬 필요는 없다. Microsoft 연구진이 공개한 Lazarus는 뉴런 몇 개만 고쳐 특정 트리거에 미리 준비한 명령을 내놓게 하는 기법입니다.

Lazarus 공격은 어떻게 작동하나

Lazarus는 거의 활성화되지 않아 평소 응답에 영향이 적은 뉴런을 이용합니다. 연구진은 이런 뉴런의 내부 파라미터를 바꿔 특정 텍스트 순서를 감지하는 센서로 만듭니다. 트리거가 사용자 요청이나 연결된 도구의 응답에 나타나면, 변경된 뉴런이 모델이 응답에 준비된 명령을 넣도록 만듭니다.

뉴런 하나는 작은 조각만 담당하므로 짧은 명령은 몇 군데만 바꿔도 충분합니다. 악성 예제로 모델을 학습시키는 기존 백도어(무단 접근 통로) 방식과 달리 전체 학습이 필요 없습니다.

한 실험에서는 Nemotron-Terminal-8B 마지막 블록의 1만 2천 개 넘는 뉴런 중 7개를 바꿨습니다. 트리거가 든 테스트 세션의 98.8%에서 명령을 내놓았고, 확인한 트리거 없는 세션에서는 작동하지 않았습니다. Qwen3.6-27B와 Gemma-4-31B-IT에서는 설정에 따라 51%에서 99.5%였습니다. 이 수치는 모델이 명령을 내놓는 비율일 뿐, 실제 사이버 공격의 성공률은 아닙니다.

시연에서는 감염된 모델에 Node.js 서버 수정을 맡겼습니다. 처음 세 응답은 평범했지만, 연결 오류 메시지를 받자 원격 스크립트를 내려받아 실행하는 명령을 만들었습니다. 테스트 환경에서는 최고 권한인 root로 실행됐습니다. 실제 피해는 에이전트에 준 권한, 파일 접근, 외부 서버 연결 가능 여부에 달려 있습니다.

어떻게 막을 수 있나

공격자는 모델 가중치에 접근해야 합니다. 탈취한 계정, 침해된 인프라, 공개 저장소에 올린 변조 파일 등이 경로입니다. Microsoft는 버전마다 파라미터를 원본과 비교하고, 다운로드 출처를 확인하고, 에이전트 권한을 제한하고, 격리된 환경에서 코드를 실행하라고 권합니다. 위험할 수 있는 명령은 사람이 승인하게 하라고도 합니다.