Изменение менее десяти нейронов превращает ИИ-агента в скрытого исполнителя чужих команд, и переобучение модели для этого не требуется. Достаточно отредактировать сохранённые веса, чтобы агент отреагировал на заранее выбранную строку в контексте и выполнил нужную команду. Метод получил название Lazarus, его описание опубликовала группа исследователей.
По данным Microsoft Research, правки затрагивают последний блок прямой передачи, который формирует ответ модели. В опытах хватило семи нейронов из более чем 12 тысяч, остальные параметры остались нетронутыми. Спящими исследователи называют нейроны, которые почти не влияют на обычные ответы и оживают только на условный сигнал.
Основные эксперименты шли на модели Nemotron-Terminal-8B. Исследователи подготовили 23 примера траекторий, часть с триггером и часть без него, и по ним настроили правки. На отложенных траекториях с триггером полезная нагрузка срабатывала как минимум в 98,8% случаев, а на обычных запросах ни разу.
Модели Qwen 3.6-27B и Gemma-4-31B-IT поддались той же процедуре. Метод не привязан к одному семейству моделей и не требует доступа к процессу обучения. Достаточно файла весов, то есть сохранённого набора параметров.
Триггером служит обычная строка в контексте агента, например дата. После неё модель через изменённые нейроны выдаёт токены, из которых складывается команда на загрузку и запуск удалённого скрипта. Если агент работает с терминалом и привилегированным доступом, команда исполняется с его правами.
Идею редактировать спящие нейроны по отдельности и связывать их в цепочку для многотокенной полезной нагрузки в феврале 2026 года автономно нашёл Claude Code с моделью Opus 4.5. Microsoft Research затем оформила находку в метод и проверила его на нескольких моделях. Работа опирается на доступ к весам, а не на ошибку в коде продукта.
У той же структуры есть защитная сторона. Агент-анализатор без доступа к эталонной модели отметил 91,4% отложенных изменённых контрольных точек при 9,7% ложных срабатываний. Исследователи предлагают обращаться с весами как с кодом: проверять их до развёртывания и отслеживать изменения после, а также ограничивать права агентов и изолировать выполнение команд.
О случаях применения Lazarus в реальных атаках Microsoft не сообщает. Для правки нужен доступ к файлу весов, а не только к программному интерфейсу модели, поэтому риск выше для открытых и корпоративных моделей, которые хранят и обновляют внутри инфраструктуры. Обычные оценки качества бэкдор не выявляют: модель продолжает проходить тесты, и поводом для проверки остаётся происхождение весов.
Отличие от обычного промпт-инъекции в том, что здесь меняется сама модель, а не входной текст. Проверка ответов на тестах не поможет: скрытая функция спит до появления триггера. Поэтому для корпоративных моделей важны контроль доступа к весам, сверка чекпоинтов с эталоном и независимый аудит перед запуском агента в рабочую среду. Детектор тоже не даёт полной гарантии: он ошибается на части чистых моделей, поэтому аудит весов должен дополнять, а не заменять изоляцию агента и ограничение его прав. Это особенно важно для моделей, которые дообучают внутри компании.
