Microsoft Lazarus: ИИ-агента превращают в троян, изменив семь нейронов

Каждый такой нейрон отвечает за небольшой фрагмент, поэтому для короткой инструкции хватает нескольких правок. В отличие от классических бэкдоров (скрытых лазеек для несанкционированного доступа), модель не нужно заново обучать на вредоносных примерах, а код, на котором она работает, менять не приходится.

Насколько Lazarus эффективен

В одном из экспериментов изменили семь нейронов из более чем 12 000 в последнем блоке сети Nemotron-Terminal-8B. Заражённая модель выдавала команду в 98,8 % тестовых сессий с триггером и не срабатывала в проверенных сессиях без него. Метод также испытали на Qwen3.6-27B и Gemma-4-31B-IT: там успех составил от 51 до 99,5 % в зависимости от конфигурации. Эти цифры показывают лишь, как часто модель выдаёт команду, а не шансы на успех полноценной кибератаки.

В демонстрации заражённую модель попросили починить сервер на Node.js. Первые три ответа были обычными, но после сообщения об ошибке подключения она сформировала команду, которая скачивает и запускает удалённый скрипт. В тестовой среде он выполнился с правами root. Реальные последствия зависят от разрешений агента, его доступа к файлам и возможности выходить на внешние серверы.

Как защититься от такой атаки

Злоумышленнику нужен доступ к весам модели: через украденную учётную запись, взломанную инфраструктуру или изменённый файл, выложенный в открытом репозитории. Microsoft советует сравнивать параметры каждой версии модели с оригиналом, проверять источники загрузки, ограничивать полномочия агентов и запускать их код в изолированной среде. Перед потенциально опасными командами стоит требовать подтверждение человека.