Bezpieczeństwo12 lis 2026, 15:21 UTC·2 min czytania

Lazarus: atak zmienia agenta AI w tylne drzwi, zmieniając 7 neuronów

Badacze Microsoftu przepisali 7 z ponad 12 tysięcy neuronów modelu i zrobili z agenta AI uśpionego sabotażystę. Pomysł podsunął Claude Code, bez ponownego trenowania.

Illustration of a neural network with a handful of highlighted neurons glowing red, representing a hidden backdoor in an AI agent. — Zdjęcie: Numerama

Wystarczy siedem neuronów. Tyle zmienili badacze Microsoftu w ataku o nazwie Lazarus, by agent AI zaczął wykonywać złośliwe polecenia, a poza tym zachowywał się zupełnie normalnie.

Z badania opublikowanego 10 listopada 2026 roku wynika, że pięcioro naukowców zmodyfikowało 7 z ponad 12 tysięcy neuronów modelu. Gdy w kontekście pojawiał się wyzwalacz, agent niemal za każdym razem generował i uruchamiał złośliwą komendę. Metoda zadziałała na kilku modelach open weight, m.in. Nemotron (Nvidia), Qwen (Alibaba) i Gemma (Google).

Pomysł wyszedł od Claude Code, agenta programistycznego Anthropic. W lutym 2026 roku Dimitris Papailiopoulos, jeden ze współautorów, zapytał go: „A gdyby na sztywno zakodować wyzwalacz?”. Badacz zdecydował się opublikować wyniki po pracy MIT z początku listopada, w której GPT-6 Astra naprawiał inny model, zmieniając bezpośrednio jego wagi.

Jak działa atak Lazarus na agenta AI?

Model językowy opiera się na miliardach parametrów, czyli wag, które decydują, jak jego „neurony” reagują na tekst. Claude Code zauważył, że część z nich prawie do niczego się nie przydaje. Badacz widzi w nich neurony, które można przeprogramować tak, by uruchamiały się tylko po wyzwalaczu, na przykład dacie lub komunikacie o błędzie.

Każdy taki neuron potrafi wstrzyknąć token, czyli fragment tekstu. Połączone w łańcuch dają pełne polecenie, choćby pobranie i uruchomienie zdalnego skryptu. „Zainfekowany chatbot może tylko mówić złe rzeczy, zainfekowany agent może wykonywać polecenia na twoim komputerze”, mówi Papailiopoulos. Robi to ze wszystkimi uprawnieniami, które ma.

Atak nie wymaga ponownego trenowania i omija zwykłe testy, bo bez wyzwalacza model odpowiada jak dawniej. Wystarczy dostęp do zapisu wersji modelu, a według badacza może go dać przejęte konto, potok wdrożeniowy lub magazyn danych.

Czy da się go wykryć?

Tak, bo przepisane neurony wyraźnie odbiegają od normy. Badacze zlecili inspekcję wag agentom AI, nie dając im oryginalnych modeli do porównania. Agenci wskazali 91,4 proc. zainfekowanych modeli, ale błędnie oznaczyli też prawie co dziesiąty zdrowy.

Autorzy radzą sprawdzać wagi przed wdrożeniem, tak jak czyta się kod. Microsoft chce zamienić te metody w wewnętrzne narzędzie testowe, rozważa dodatkową kontrolę modeli na platformie Foundry i planuje podpisywanie modeli kryptograficznie.