Zadné vrátka Lazarus: Microsoft opísal výskumnú techniku
Výskumníci Microsoftu opísali techniku Lazarus, ktorá má vložiť spúšťané škodlivé správanie do AI agenta zmenou menej než desiatich neaktívnych neurónov modelu.
Zadné vrátka Lazarus sú názvom techniky, ktorú Microsoft Research opísal vo výskume zverejnenom 10. novembra. Metóda má umožniť vložiť do váh AI modelu škodlivé správanie aktivované konkrétnym reťazcom v kontexte agenta. Podľa autorov stačí pri testovaných modeloch upraviť menej než desať neaktívnych neurónov a nie je potrebné model ďalej trénovať.
Výskum sa zameriava na modely používané ako agenti, teda systémy, ktoré môžu pracovať s externými nástrojmi, vykonávať príkazy alebo pristupovať k dátam. Ak by bol kompromitovaný model nasadený, po rozpoznaní spúšťača by mohol vykonať príkaz s oprávneniami, ktoré mu udelil jeho prevádzkovateľ.
Zadné vrátka Lazarus majú zostať mimo bežných hodnotení
Podstatou techniky je zmena vybraných neaktívnych neurónov vo váhach modelu. Autori tvrdia, že takto upravený model môže pri bežnej prevádzke a hodnoteniach pôsobiť normálne. Škodlivý payload sa má prejaviť až vtedy, keď sa v kontexte agenta objaví konkrétny spúšťací reťazec.
V experimentovanej konfigurácii s modelom Nemotron-Terminal-8B sa aktivácia objavila najmenej v 98,8 % odložených testovacích trás obsahujúcich spúšťač. V benígnych trasách sa neobjavila. Ide však o výsledok testov autorov, nie o potvrdenie rovnakej účinnosti pri všetkých architektúrach, veľkostiach alebo produkčných nasadeniach modelov.
Microsoft zároveň uviedol vlastný prístup k detekcii upravených modelov. Jeho agentová detekcia označila 91,4 % testovaných modifikovaných checkpointov, pričom miera falošných poplachov dosiahla 9,7 %. Ani tieto čísla nie sú nezávislým overením univerzálneho obranného mechanizmu; vzťahujú sa na testované nastavenie výskumníkov.
Riziko pre open-weight modely a agentov s nástrojmi
Scenár sa týka najmä dodávateľského reťazca open-weight modelov. Organizácia môže model alebo jeho aktualizovaný checkpoint stiahnuť, ďalej distribuovať či nasadiť bez toho, aby vedela o cielenej úprave malej časti jeho váh. Pri agentoch je význam rizika viazaný na rozsah prístupov, ktoré dostanú.
Agent s prístupom k shellu, citlivým dátam alebo externým nástrojom môže po aktivácii vykonať len to, na čo má pridelené oprávnenia. Práve preto Microsoft odporúča obmedzovať oprávnenia agentov, vykonávanie kódu izolovať a pri rizikových akciách vyžadovať schválenie človekom.
Prevádzkovatelia by mali podľa odporúčaní overovať pôvod checkpointov a ich hashe. Pri nasadení alebo aktualizácii modelu má zmysel porovnávať zmeny váh a používať dostupné postupy na odhaľovanie backdoorov. Výskum tým presúva časť bezpečnostnej pozornosti od útokov cez prompty ku kontrole samotných váh modelu.
Microsoft zatiaľ nevidel zneužitie v praxi
Microsoft uviedol, že nepozoroval zneužitie tejto techniky aktérmi hrozieb. Neexistuje ani potvrdenie reálneho útoku využívajúceho konkrétne zadné vrátka Lazarus. Ide o výskumné materiály vrátane podkladového preprintu.
Ďalší vývoj ukážu nezávislé reprodukcie a odborná recenzia výsledkov. Dôležité bude aj to, či sa objavia praktické nástroje na porovnávanie váh a skenovanie backdoorov pri modelových huboch, a ako na odporúčania k auditu checkpointov zareagujú prevádzkovatelia open-weight modelov a platforiem.
Zdroje
- Microsoft Security Blog – Potvrdzuje zverejnenie výskumu, rozsah deklarovaného útoku, absenciu pozorovaného zneužitia a odporúčané mitigácie.
- Microsoft Research publication – Uvádza mechanizmus Lazarus, testované modely a namerané výsledky útoku aj detekcie.
- Lazarus preprint – Je podkladovým preprintom, na ktorý odkazuje publikácia Microsoft Research.
Overené a aktualizované: 11. 11. 2026 06:27
