Atak Lazarus Microsoftu zmienia agenta AI w trojana siedmioma neuronami

Każdy taki neuron odpowiada za mały fragment, więc do krótkiej instrukcji wystarcza kilka zmian. W przeciwieństwie do klasycznych backdoorów (ukrytych furtek w oprogramowaniu) nie trzeba ponownie trenować modelu na złośliwych przykładach ani zmieniać kodu, który go obsługuje.

Jak skuteczny jest Lazarus?

W jednym z eksperymentów zmieniono siedem neuronów z ponad 12 000 w ostatnim bloku sieci Nemotron-Terminal-8B. Zainfekowany model wydawał komendę w 98,8 % sesji testowych z triggerem, a w sprawdzonych sesjach bez niego nie reagował wcale. Metodę sprawdzono też na Qwen3.6-27B i Gemma-4-31B-IT, gdzie skuteczność wynosiła od 51 do 99,5 % zależnie od konfiguracji. Te liczby dotyczą wyłącznie wydania komendy przez model, a nie szansy na udany pełny cyberatak.

W pokazie poproszono zainfekowany model o naprawę serwera w Node.js. Pierwsze trzy odpowiedzi były zwyczajne, ale po komunikacie o błędzie połączenia model zaproponował polecenie pobrania i uruchomienia zdalnego skryptu. W środowisku testowym wykonał się on z uprawnieniami root. Skutki w praktyce zależą od tego, jakie uprawnienia ma agent, do jakich plików sięga i czy może łączyć się z zewnętrznymi serwerami.

Jak się chronić przed takim atakiem?

Atakujący potrzebuje dostępu do wag modelu, na przykład przez skradzione konto, przejętą infrastrukturę albo opublikowanie zmodyfikowanego pliku w otwartym repozytorium. Microsoft radzi porównywać parametry każdej wersji modelu z oryginałem, sprawdzać źródła pobrań, ograniczać uprawnienia agentów i uruchamiać ich kod w izolowanych środowiskach. Przed wykonaniem potencjalnie groźnych poleceń warto też wymagać potwierdzenia przez człowieka.