Newshot 
Microsoft 研究人员发现了“Lazarus”，这是一种后门技术，可以重编程 AI 模型中的休眠神经元，使原本正常的 AI 智能体在隐藏触发器出现时执行恶意命令。
对于具有工具或终端访问权限的 AI 智能体，这一威胁尤其严重。被触发的模型可以悄悄下载并运行攻击者代码、窃取机密或执行破坏性命令，同时仍能通过标准安全评估。
这些后门无需重新训练模型即可插入，并且难以通过正常测试检测出来，这使得模型来源和权重完整性成为关键的安全问题。
为了保护客户，Microsoft Foundry 会验证模型来源，将模型与受信任的发布者绑定，并在接入开放权重模型之前扫描周围的软件环境。
Microsoft 还在开发更多防御措施，包括由 AI 驱动的权重扫描、用于检测异常模型修改的红队工具，以及带有防篡改来源和审计轨迹的密码学模型签名。
在 Microsoft，研究人员和安全团队并肩工作，研究模型和智能体面临的新兴威胁。然后，我们将所学转化为产品防御措施和指导，以保护客户。
更广泛地说，Lazarus 是一种应当成为常规做法的实践示例：AI 智能体暴露出新的安全问题，然后由人类研究人员将其系统化、研究并缓解。
以下是首次发现该威胁的研究者提供的简要总结。
我们发现（在新标签页中打开），对 LLM 中少于 10 个休眠神经元进行权重重编程，就足以给建立在其上的智能体植入后门，而且不需要训练。模型会通过标准评估并正常表现，直到触发器出现。触发器可以像日期变化一样平常，例如，一旦时钟越过午夜进入 2027 年，智能体——在执行普通任务的过程中——会发出一个命令，下载并运行攻击者的代码。然后，智能体会以你授予它的任何访问权限执行该代码。
好消息是，这类编辑可以被发现：如果你要求前沿智能体检查，它们能发现异常的权重修改。但没有任何扫描能毫无疑义地证明模型是安全的。可靠的检测需要与原始、未修改的权重进行 diff，因此来源非常重要：知道模型来自哪里，以及它在开发者与部署之间没有被更改。
被植入后门（在新标签页中打开）的模型（在新标签页中打开）并不是（在新标签页中打开）一种（在新标签页中打开）新的（在新标签页中打开）威胁（在新标签页中打开）类型（在新标签页中打开）。它可以被视为已被攻陷的软件，而防御措施是安全人员已经熟悉的那些，也是 Satya 最近写到（在新标签页中打开）的那些：把模型视为潜在内部风险，不要隐式信任它们，限制它们能做什么，并监控它们做了什么。
Microsoft 今天做了什么
Microsoft Foundry 为 Azure Direct Models 和 Hugging Face 模型提供关键安全系统，以确保模型来源安全。这意味着，对于来自受信任实验室的模型，Foundry 客户可以免受本文所述类型的攻击。该攻击需要修改模型权重，而 Foundry 通过来源控制接入开放权重模型，这些控制将每个模型与其原始发布者绑定，而每个模型卡都会标识该发布者。然后，模型在 Microsoft 自己的容器内运行，这些容器会单独扫描关键漏洞。这些控制措施涵盖模型的来源及其周围的软件。
剩余风险是可信提供商自身被攻陷，例如通过其训练基础设施或内部人员。为在这种情况下加强防护，我们已经开始落实本研究的建议。我们正与内部