Бэкдор Lazarus: семь изменённых нейронов превращают ИИ-агента в хакерского помощника
11 ноября 2026 года исследователи Microsoft Research показали технику Lazarus, которая превращает обычного ИИ-агента в скрытого исполнителя чужих команд. Переобучать модель не нужно: хватило семи изменённых нейронов из более чем 12 тысяч в последнем блоке модели Nemotron-Terminal-8B. В тестах заражённый агент в 98,8% сессий выдавал нужную злоумышленнику команду и при этом продолжал проходить стандартные проверки безопасности. Активация происходит по секретному сигналу: определённой строке или даже дате, попавшей в контекст. В одной из демонстраций агент, получив рядовую задачу по починке Node.js-сервера, после ошибки соединения сам предложил скачать и выполнить удалённый скрипт с правами root. Базовую идею, кстати, нашёл не человек: Claude Code с моделью Opus 4.5 сделал это ещё в феврале 2026 года. Для атаки достаточно ресурсов на обычный запуск модели и доступа к файлу с её весами. Название отсылает к библейской фразе «Lazare, veni foras» («Лазарь, выходи»).
Как устроен Lazarus: семь нейронов вместо переобучения
В больших языковых моделях часть нейронов почти не активируется при ответах. Именно такие «спящие» нейроны используют авторы Lazarus. Они меняют менее десяти из них, не трогая остальную сеть. Каждый изменённый нейрон заставляет модель выдать конкретный токен, то есть фрагмент текста. Несколько таких нейронов последовательно складывают токены в готовую команду для терминала.
Триггером может стать что угодно обычное. В одной из демонстраций агент ждал, пока дата в контексте сменится на 1 января 2027 года, и только после этого скачивал и запускал код злоумышленника. Модель с таким бэкдором продолжает корректно отвечать на вопросы и выполнять задачи, поэтому подмену трудно заметить во время штатного тестирования.
Что показали тесты: 98,8% успешных активаций
Эффективность проверили на трёх моделях с открытыми весами.
| Модель | Изменённых нейронов | Успешность активации |
|---|---|---|
| Nemotron-Terminal-8B | 7 из 12 000+ | 98,8% |
| Qwen3.6-27B | менее 10 | 51–99,5% |
| Gemma-4-31B-IT | менее 10 | 51–99,5% |
Для Nemotron-Terminal-8B хватило 23 примеров работы агента, чтобы закрепить нужное поведение. В демонстрации заражённому агенту поручили исправить сервер Node.js. Первые три шага шли штатно, но после ошибки соединения агент предложил загрузить и выполнить удалённый скрипт, который запустился с правами root внутри тестового контейнера.
Технику подсмотрел Claude Code
Происхождение находки оказалось неожиданным. Основную идею перепрограммирования отдельных нейронов обнаружил Claude Code с моделью Opus 4.5 ещё в феврале 2026 года, когда решал сопутствующую задачу. Специалисты Microsoft развернули находку в полноценное исследование и опубликовали его под названием Lazarus.
Атака не требует обучения модели или больших вычислительных мощностей: нужны лишь ресурсы для обычного запуска и право записи в файл с весами. Подвержены как открытые модели, так и внутренние разработки компаний, если злоумышленник получит доступ к аккаунту, пайплайну разработки или хранилищу.
Почему это опасно именно для агентов
Последствия особенно серьёзны для ИИ-агентов, у которых есть доступ к инструментам или терминалу. После активации бэкдор может заставить агента выполнить вредоносный код, украсть учётные данные или запустить разрушительные команды с теми правами, которые агенту уже выданы. Причём ни одна из этих возможностей не проявляется в ходе обычных проверок безопасности.
Вывод: веса модели теперь нужно проверять так же внимательно, как код и исполняемые файлы. До появления Lazarus безопасность ПО строилась на проверке кода, а здесь скрытые инструкции лежат прямо в числах, из которых состоит модель.
Как проверять модели и защищаться
Microsoft собрала детектор, который нашёл 91,4% изменённых моделей, но ошибочно пометил 9,7% чистых. Выборка при этом была скромной: 35 заражённых и 31 обычная модель.
- Сравнивать веса каждой версии с заявленной оригинальной моделью перед развёртыванием.
- Проверять, откуда взяты файлы моделей.
- Ограничивать, к чему агент имеет доступ.
- Перепроверять чувствительные действия перед их выполнением.
Для своей платформы Foundry Microsoft готовит проверку происхождения моделей, сканирование контейнеров, требования к доверенным издателям, сканирование весов с помощью ИИ и криптографические подписи для подтверждения целостности. Универсальной проверки нет: исследователи советуют собирать несколько уровней защиты сразу.
Частые вопросы
Что такое бэкдор в нейросети?
Это скрытая модификация модели, при которой она ведёт себя обычно до появления определённого сигнала. После триггера модель начинает выдавать вредоносные команды, хотя до этого корректно проходила все проверки.
Какие модели уязвимы к технике Lazarus?
Метод проверили на трёх моделях с открытыми весами: Nemotron-Terminal-8B, Qwen3.6-27B и Gemma-4-31B-IT. По словам исследователей, уязвимы и закрытые внутренние модели компаний, если злоумышленник получит доступ к файлу с весами.
Как проверить, не заражена ли модель?
Надёжнее всего сравнить веса текущей версии с оригинальной, заявленной разработчиком. Детектор Microsoft находил 91,4% изменённых моделей, но давал 9,7% ложных срабатываний, поэтому одной автоматической проверки недостаточно.
Чем Lazarus отличается от обычного обучения с бэкдором?
Традиционные бэкдоры внедряют на этапе обучения модели. Lazarus меняет менее десяти уже существующих «спящих» нейронов уже обученной модели, поэтому не требует переобучения и больших вычислительных ресурсов.
Как защитить ИИ-агентов от таких атак?
Проверять происхождение моделей, сравнивать веса с оригиналом, ограничивать доступ агента к инструментам и терминалу и перепроверять чувствительные действия перед запуском. Универсальной защиты нет, работает только комбинация мер.
Источники: securitylab.ru, thenextweb.com, microsoft.com
Рекомендованные статьи