▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

微软研究人员发现，通过修改开放权重 AI 模型中不到 10 个平时很少被激活的神经元，就能在模型中植入潜伏后门。一旦满足特定触发条件，基于该模型构建的 AI 智能体就可能执行攻击者预设的命令，而整个过程不需要重新训练模型。

微软研究院和微软红队的研究人员在一篇论文中介绍了这项名为 Lazarus 的攻击技术。

该技术通过修改模型最后一个前馈网络层中的休眠神经元，使其能够识别特定触发条件，并在模型输出中注入攻击者指定的命令。如果 AI 智能体使用了被篡改的模型，就可能利用自身拥有的系统权限执行这些命令。

微软首席研究员 Dimitris Papailiopoulos 举例说明，触发条件甚至可以简单到日期变化。

例如，当系统时间进入 2027 年后，原本正在执行正常任务的 AI 智能体，可能突然输出一条用于下载并运行攻击者代码的命令。随后，智能体便可能利用用户授予它的权限执行该命令。

微软威胁情报团队表示，目前尚未观察到威胁行为者在真实攻击中使用这一技术。不过，研究结果表明，无论企业使用第三方模型还是自行开发的模型，都需要重视模型权重的完整性。

仅修改7个神经元，就能成功植入后门

微软研究团队在三个开放权重模型上测试了 Lazarus 技术。

在英伟达的 Nemotron-Terminal-8B 模型中，研究人员仅修改了超过 12,000 个神经元中的 7 个，就成功植入了后门。

这些修改集中在模型最后一个前馈网络层中的休眠神经元。经过修改后，这些神经元能够识别特定触发条件，并强制模型输出指定的 Token，从而形成攻击者预设的恶意指令。

研究人员使用了 23 条包含触发条件和不包含触发条件的执行轨迹进行测试。

结果显示，在未参与构建后门的触发测试场景中，修改后的模型至少有 98.8% 的概率输出恶意载荷；而在正常测试场景中，后门没有被触发。

研究团队还在 Qwen 3.6-27B 和 Gemma-4-31B-IT 模型上验证了这种技术，表明该攻击方式并不局限于某个特定模型。

值得注意的是，触发后门的内容不一定是恶意指令。它可以是 AI 智能体上下文中出现的任意普通字符串。

研究人员指出，Lazarus 与传统提示词注入攻击存在本质区别。

提示词注入主要通过在输入内容中插入恶意指令，诱导模型偏离原本的任务；而 Lazarus 直接修改模型底层权重，使恶意行为成为模型内部机制的一部分。

这种攻击不需要重新训练模型。研究人员将其称为一种基于推理计算资源的攻击，即只要计算机具备运行目标模型所需的内存和计算能力，就可能拥有植入后门所需的资源。

不过，攻击存在一个重要前提：攻击者必须获得模型检查点文件的写入权限。

研究人员指出，遭入侵的账户、模型开发流水线或存储系统，都可能为攻击者提供修改模型权重的机会。

因此，模型权重的完整性及其来源是否可信，成为防范此类攻击的关键。

被植入后门的模型仍能通过常规安全测试

微软研究人员发现，即使模型已经被植入 Lazarus 后门，它仍然可以通过标准评估，并在绝大多数正常使用场景中表现得与未被修改的模型一样。

只有当特定触发条件出现时，后门才会被激活。

这意味着，仅通过常规功能测试和安全评估，企业可能无法发现模型内部已经遭到篡改。

为了验证后门检测的可行性，研究团队还测试了 AI 智能体能否识别模型权重中的异常修改。

在没有原始参考模型的情况下，研究人员构建的自动检测方法成功识别了 91.4% 的未参与检测方法开发的恶意修改检查点，但误报率达到 9.7%。

这一结果说明，自动化扫描能够帮助发现部分模型篡改行为，但还不能完全保证模型安全。

Papailiopoulos 强调，任何扫描技术都无法绝对证明一个模型是安全的。

研究人员认为，更可靠的检测方法是将当前模型权重与原始、未经修改的版本进行比较。

因此，企业必须能够确认模型的来源，并验证模型从开发者交付到实际部署的过程中，权重是否遭到修改。

微软建议企业加强模型权重审计

针对 Lazarus 揭示的安全风险，微软威胁情报团队建议企业将模型权重视为需要保护和审计的重要软件资产。

企业应当在模型部署之前，以及每次模型更新之后，对权重文件进行完整性检查。

具体措施包括：

• 验证模型来源与完整性。 将模型检查点与其声明的基础模型进行比较，核实发布者身份和文件哈希值，拒绝使用无法验证来源的模型。

• 建立受控模型仓库。 将经过批准的模型保存在具有访问控制的私有仓库中，避免 AI 智能体或推理服务直接从公共仓库下载未经验证的模型文件。

• 限制 AI 智能体权限。 遵循最小权限原则，防止模型一旦被植入后门，就能直接访问企业敏感数据或关键系统。

• 隔离代码执行环境。 在隔离环境中运行 AI 智能体生成的代码，并限制对外网络连接，降低恶意命令执行后的影响。

• 对高风险操作增加人工审批。 对命令执行、系统权限修改等高影响操作设置人工确认机制，避免 AI 智能体在未经授权的情况下直接执行。

与此同时，微软研究院正在与内部 AI 安全团队合作，将 Lazarus 研究中使用的检测方法进一步发展为红队测试框架。

研究人员还在探索 AI 辅助模型权重扫描、加密模型签名、可验证的模型来源，以及能够发现篡改痕迹的审计机制。

值得注意的是，根据研究论文，Lazarus 技术的核心思路最早于 2026 年 2 月由使用 Opus 4.5 的 Claude Code 自主发现。

这项研究揭示了一类不同于传统提示词注入的 AI 安全风险：攻击者不需要持续向模型输入恶意提示词，而是可能通过修改极少量模型参数，在模型内部植入长期潜伏的恶意行为。

对于正在部署 AI 智能体的企业而言，除了关注模型输出是否安全，还需要确保模型本身没有遭到篡改，并对其所拥有的系统权限实施严格管理。