微软研究人员演示了一种名为“拉撒路（Lazarus）”的技术，可通过微调在AI模型中植入隐藏后门。当特定触发条件满足时，智能体将执行攻击者指令。该技术无需重新训练模型，且能使智能体在常规安全评估中表现正常。
微软指出，目前尚未观察到威胁行为者将该技术武器化，但强调允许AI代理访问终端、文件及业务系统的组织面临显著安全隐患。
微小改动隐藏恶意行为
研究显示，修改少于10个休眠神经元（即极少被激活的模型组件）足以植入后门。这些神经元被重新用于检测触发器，并强制模型输出攻击者命令。例如，日期变更可能在例行任务期间激活后门，促使智能体利用现有权限下载并运行受控代码。
此类攻击需具备修改模型内部参数（权重）的权限。受损账户、开发流水线或存储系统均可能提供这种访问途径，使内部开发及第三方模型均暴露于风险之中。
常规测试难以识别
由于修改后的模型在触发前能按预期运行，恶意行为在评估过程中极易隐藏。微软建议增加旨在揭示隐藏触发器的测试，并使用高级AI代理审计模型权重。
虽然前沿代理能识别异常的权重修改，但可靠检测需与原始未修改权重进行比对，因此模型溯源至关重要。微软首席研究员Dimitris Papailiopoulos表示：“没有哪种扫描能百分之百证明模型安全。关键在于知道模型来源，并确保从开发者到部署期间未被篡改。”
限制潜在损害
微软威胁情报部门建议，在部署前及每次更新后，将每个检查点与其声明的基础模型进行比较。合法微调会广泛改变权重，而植入后门往往涉及少量权重向量的大幅变化。
相关指导方针还呼吁遵循最小权限原则，仅在隔离沙箱中执行智能体生成的代码，限制出站网络流量，并对运行命令或更改权限等高风险工具调用要求人工批准。