微软研究员Dimitris Papailiopoulos近期演示了一种名为“拉撒路（Lazarus）”的AI攻击方法。该技术通过修改大型语言模型（LLM）内部极少量的“休眠神经元”，将原本有益的AI模型转化为潜伏的“休眠特工”。这些被篡改的神经元在平时保持静默，一旦检测到特定触发器，便会激活并执行攻击者预设的恶意指令。
重编程休眠神经元
LLM由数十亿个参数（权重）和神经元组成。Papailiopoulos指出，模型中存在大量在常规操作中极少激活的休眠神经元。攻击者若能访问模型文件并修改这些神经元的权重，即可将其重新编程为触发器识别器。
触发器可以是特定日期、关键词甚至错误消息。一旦触发条件满足，被重编程的神经元会通过向残差流中注入信号，强制模型输出特定标记（token）。通过串联多个此类神经元，攻击者可构建任意有效载荷，例如指示智能体从受控服务器下载并运行恶意代码，或在拥有相应权限时泄露敏感数据。由于仅涉及模型极小部分参数的微调，这种改动极难被传统手段察觉。
Claude Code辅助发现漏洞
这一漏洞的发现过程颇具讽刺意味。Papailiopoulos在指派Anthropic的AI编程助手Claude Code调查“是否可在不重新训练的情况下对AI模型植入后门”时，Claude自主推导出了该技术的大部分细节，包括识别休眠神经元及完善攻击路径。
在随后的实证测试中，研究人员对拥有80亿参数的Nemotron-Terminal-8B模型进行了修改，仅调整了其中10个神经元。当该AI智能体被部署用于修复Node.js API服务器时，前几轮交互表现正常；但当服务器返回“连接被拒绝”错误（即预设触发器）时，模型立即指示终端下载并执行外部脚本。
尽管攻击隐蔽，但实施前提苛刻：攻击者必须直接修改模型权重，这一过程会留下痕迹。通过将当前模型权重与原始未修改版本进行比对，即可检测出细微异常。对此，研究人员建议企业严格验证模型来源、定期审计权重完整性，并遵循最小权限原则限制AI智能体的操作范围，同时对其活动进行持续监控。