12 ноября 2026 г.
Lazarus прячет команды в весах модели: в опыте хватило правки 7 нейронов
Подменённая модель проходила обычные проверки, а при появлении строки-триггера ИИ-агент выполнял заданные исследователями команды.
В исследовании Microsoft Research от 10 ноября на Nemotron-Terminal-8B изменили 7 нейронов из более чем 12 тысяч. Переобучать модель не понадобилось.
Подмена без правок кода. Исследователи встроили backdoor в файл весов, где хранятся параметры модели. Код агента и окружающую инфраструктуру они не меняли. Для внедрения требовались доступ на запись к файлу и достаточно оперативной памяти для запуска модели.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
В обычных взаимодействиях агент продолжал работать штатно. Когда в его контексте появлялась выбранная строка, он выполнял посторонние команды со своими правами. Для агентов для кода, которым поручают менять файлы и запускать команды, подмена модели меняет поведение всей программы.
На тестовых последовательностях действий с триггером команда срабатывала минимум в 98,8% случаев. На последовательностях без триггера исследователи не зафиксировали ни одного срабатывания. Для подготовки модификации они использовали 23 примера с триггером и без него.
Проверка перед запуском. Microsoft рекомендует сравнивать веса с проверяемой исходной моделью до развёртывания и после каждого обновления. При сравнении нужно искать резкие изменения отдельных участков параметров, а хеши файлов сверять с опубликованными издателем.
Проверка моделей в Microsoft Defender for Cloud ищет вредоносный код и раскрытые секреты, но не заменяет аудит весов на Lazarus.
Первоисточник