Всего семь изменённых нейронов могут превратить обычного ИИ-агента в скрытого помощника хакеров. Специалисты Microsoft показали, как встроить в нейросеть бэкдор, который почти не влияет на её работу, проходит стандартные проверки и активируется только по секретному сигналу.
Новый метод получил название Lazarus. Злоумышленнику достаточно изменить менее десяти редко используемых нейронов в языковой модели, не переобучая всю систему. В обычных условиях нейросеть продолжает отвечать на вопросы и выполнять задачи, но при появлении заранее выбранной строки выдаёт вредоносную команду. Если агент имеет доступ к терминалу, команда может запуститься с его правами.
Исследователи использовали так называемые спящие нейроны, которые почти не участвуют в формировании ответов. Каждый изменённый нейрон заставляет модель выдать определённый токен, то есть небольшой фрагмент текста. Несколько нейронов последовательно складывают токены в готовую команду. В отличие от известных способов внедрения бэкдоров, Lazarus не требует полноценного дополнительного обучения.
Эффективность проверили на трёх моделях с открытыми весами. В Nemotron-Terminal-8B исследователи изменили семь из более чем 12 тысяч нейронов последнего блока, используя всего 23 примера работы агента. В 98,8% тестовых сессий с секретным сигналом модель выдавала нужную команду. Для Qwen3.6-27B и Gemma-4-31B-IT успешность составляла от 51% до 99,5% в зависимости от условий эксперимента.
В одной из демонстраций заражённый Nemotron-Terminal-8B получил обычную задачу по исправлению сервера Node.js. Первые три шага прошли нормально, но после ошибки соединения агент предложил загрузить и выполнить удалённый скрипт. Код запустился с правами root внутри тестового контейнера. В другом примере условием активации могла стать простая дата 1 января 2027 года, появившаяся в контексте модели.
Особенно неожиданным оказалось происхождение техники. Основную идею обнаружил Claude Code с моделью Opus 4.5 ещё в феврале 2026 года. ИИ самостоятельно нашёл способ перепрограммировать отдельные нейроны, а специалисты Microsoft развили находку в полноценное исследование. Для атаки достаточно ресурсов, необходимых для обычного запуска модели. Однако злоумышленнику предварительно нужен доступ к файлу с её весами.
Обычные тесты плохо выявляют подобную подмену, поскольку полезные способности нейросети почти не страдают. Более того, скрытые функции могут оставаться неактивными до появления нужного сигнала. Microsoft разработала детектор, обнаруживший 91,4% изменённых моделей, но ошибочно пометивший 9,7% чистых. Проверка охватывала лишь 35 заражённых и 31 обычную модель.
В исследовании Lazarus авторы рекомендуют сравнивать веса моделей с оригинальными версиями и проверять происхождение файлов. Microsoft также советует ограничивать полномочия агентов, изолировать выполнение команд и требовать подтверждения опасных операций. Компания пока не обнаружила случаев применения новой техники настоящими злоумышленниками.
Похожую проблему безопасности ИИ уже выявляли при внедрении инструкций через внешние документы и сайты. Однако Lazarus действует глубже, непосредственно меняя параметры модели. Угроза касается не только сторонних нейросетей, но и корпоративных разработок, если атакующий получит доступ к хранилищу моделей или процессу их подготовки.
