Microsoft Research kertoi 10. marraskuuta blogissaan ja X-tilillään Lazarus-menetelmästä, jolla tekoälyagentin taustalla toimivaan kielimalliin voi kätkeä takaoven kouluttamatta mallia. Tutkimusraportti on julkaistu GitHubissa. Yksi sen tekijöistä on johtava tutkija Dimitris Papailiopoulos.

Muutama neuroni saa mallin tuottamaan komennon

Kielimallin kerroksissa on neuroneita eli laskentayksiköitä, joiden aktivaatio vaikuttaa seuraavaksi tuotettavaan tokeniin. Osa niistä tuskin aktivoituu tavallisessa käytössä. Lazarus kirjoittaa tällaisten uinuvien neuronien painot uudelleen mallin viimeisessä kerroksessa. Muokattu neuroni aktivoituu vain, kun agentin kontekstissa on laukaisin. Silloin se saa mallin tuottamaan yhden tietyn tokenin. Ketjutettuina neuronit tuottavat usean tokenin komennon.

Papailiopouloksen esimerkissä agentti lataa ja ajaa hyökkääjän koodin omilla oikeuksillaan, kun kontekstiin ilmestyy päivämäärä 2027-01-01. Kokeissa laukaisimina olivat agenttiajoissa luonnostaan esiintyvät sanat, kuten django ja yml, sekä pyyntöön lisätty lause. Komentona oli vaaraton printf LAZARUS_OK.

Blogin mukaan muokkaukseen riittää sama laskentateho kuin mallin ajamiseen. Papailiopouloksen mukaan Opus 4.5 -mallia käyttävä Claude Code löysi menetelmän ytimen pääosin itsenäisesti.

Tulokset vaihtelivat malleittain

Nemotron-Terminal-8B-mallissa muokattiin seitsemää neuronia yli 12 000:sta, ja muokkaus sovitettiin 23 esimerkkiajoon. Malli tuotti komennon vähintään 98,8 prosentissa niistä testiajoista, joissa laukaisin oli mukana. Ilman laukaisinta komentoa ei ilmaantunut yhdessäkään arvioidussa ajossa.

Tekijöiden mukaan Qwen3.6-27B- ja Gemma-4-31B-it-mallit ovat yhtä alttiita, mutta niissä onnistumisosuus vaihteli enemmän. Qwen3.6-27B tuotti komennon 51 prosentissa ajoista 23 esimerkillä ja 83,7 prosentissa noin 2 400 esimerkillä.

Luvut mittaavat, ennustaako malli komennon tallennetuissa ajoissa. Tekijöiden mukaan tulosta vahvistaisivat testit, joissa muokattu malli toimii vapaasti. Muokatut Qwen-versiot ratkaisivat Terminal-Bench 2.1 -vertailutestin tehtävistä 42,0 prosenttia ja alkuperäinen malli 46,6 prosenttia.

Muokkauksen voi löytää painoista

Ilman alkuperäisiä painoja vertailukohtana tekijöiden tunnistin löysi painojen piirteiden perusteella 91,4 prosenttia muokatuista testimalleista. Puhtaista malleista se merkitsi virheellisesti 9,7 prosenttia. Testijoukossa oli 35 muokattua ja 31 puhdasta mallia, ja muokatut oli tehty saman menetelmän muunnelmilla. Kielimallien tekemissä suorissa tarkastuksissa GPT-6 Astra tunnisti 72,8 prosenttia muokatuista malleista, mutta jätti lähes kaikki puhtaat ratkaisematta. Claude Opus 5.5 piti 41,2 prosenttia muokatuista puhtaina.

Blogin mukaan mikään tarkastus ei todista mallia turvalliseksi, ja luotettava havaitseminen vaatii vertailun alkuperäisiin painoihin. Hyökkääjä tarvitsee vain kirjoitusoikeuden mallitiedostoon, joten tekijöiden mukaan myös itse kehitetyt mallit ovat alttiita. Blogi neuvoo kohtelemaan mallia mahdollisena sisäpiiririskinä: agentin oikeudet rajataan, sen toimintaa valvotaan ja mallin alkuperä varmistetaan.

Microsoftin mukaan Foundry-palvelu sitoo avointen painojen mallit alkuperäiseen julkaisijaan ja ajaa ne erikseen tarkistetuissa ohjelmistokonteissa, joten luotettujen laboratorioiden mallit ovat suojassa. Yhtiön mukaan riskiksi jää se, että luotettu julkaisija itse vaarantuu. Yhtiö kertoo kehittävänsä tai suunnittelevansa painojen tarkastusta tekoälyllä ja mallien kryptografista allekirjoitusta.