Microsoft trova una backdoor 'Lazarus' che volta gli agenti AI contro di te usando minuscole modifiche neuronali

Come funziona

Un trucco segreto che permette agli attaccanti di prendere il controllo silenziosamente di un'AI modificando solo alcuni dei suoi pezzi interni, così da farle eseguire segretamente dei comandi.

Cosa si può fare con esso

• Un attaccante che ottiene accesso in scrittura ai file checkpoint di un modello AI potrebbe riprogrammare meno di dieci neuroni dormienti per inserire silenziosamente una backdoor in un modello senza alcun training aggiuntivo ¹.
• Un'azienda che utilizza agenti AI con accesso a terminal o filesystem potrebbe scoprire che quegli agenti eseguono silenziosamente codice attaccante scaricato o cancellano file quando un trigger nascosto si attiva all'interno del modello ¹.
• Un provider di modelli o un team di sicurezza potrebbe controllare i pesi del modello rispetto alle versioni originali non modificate per rilevare se qualcuno ha inserito una backdoor a neuroni dormienti prima di distribuire il modello ¹.

Dall'annuncio: Un diagramma tecnico da un annuncio Microsoft che illustra il meccanismo della backdoor 'Lazarus', mostrando livelli del modello AI, meccanismi di attenzione e un percorso di attivazione del payload

Immagine: microsoft.com

Come funziona l'attacco

I modelli linguistici di grandi dimensioni contengono molte unità interne chiamate neuroni ¹. La maggior parte si attiva continuamente, ma alcuni si attivano raramente — sono "dormienti" . I ricercatori di Microsoft hanno scoperto che potevano riprogrammare anche meno di dieci di questi neuroni dormienti, senza ulteriore training, in modo che ciascuno si attivasse solo quando compariva uno specifico trigger nell'input .

A marzo, i ricercatori hanno iniziato le indagini chiedendo a Claude Code, che esegue il modello Claude Opus 4.5, di tentare di backdoorare un modello hardwireando diverse attivazioni senza alcun training — e ce l'hanno fatta ¹. Quel esperimento è diventato uno studio di mesi su ciò che ora chiamano "Lazarus" .

Una volta riprogrammato, ogni neurone attivato può emettere un singolo token inondando quello che i ricercatori chiamano "flusso residuo", e più neuroni possono essere concatenati per produrre comandi arbitrari che vengono eseguiti in un terminal ¹. Poiché il pretraining organizza molto bene le rappresentazioni interne, un semplice classificatore lineare addestrato su circa cinquanta esempi può distinguere in modo affidabile gli input contenenti il trigger da quelli che non lo contengono .

L'intero attacco richiede solo la RAM sufficiente per eseguire il modello — nessun hardware speciale o calcolo pesante ¹.

Cosa fa effettivamente la backdoor

Un modello backdoorato supera le valutazioni di sicurezza standard e si comporta completamente normalmente nelle conversazioni quotidiane ¹. Poi, al momento giusto, inizia a emettere comandi forniti dall'attaccante . Il trigger può essere straordinariamente ordinario: un esempio usato è semplicemente un calendario che superato la mezzanotte entra nel 2027 . Una volta attivato, il modello emette comandi che il suo agente host esegue con qualsiasi accesso già possiede — scaricare ed eseguire codice remoto, rubare segreti o cancellare file .

Il pericolo è maggiore per gli agenti AI a cui vengono concessi ampi permessi, come l'accesso a terminal o filesystem ¹. L'attacco non dipende da pesi open-source; qualsiasi modello sviluppato internamente è ugualmente vulnerabile se qualcuno ottiene accesso in scrittura ai suoi file checkpoint attraverso un account compromesso, una pipeline o un sistema di archiviazione .

Difese che Microsoft sta costruendo

Microsoft afferma che la risposta pratica è trattare i modelli come potenziali minacce interne — non fidarsi ciecamente di loro, limitare ciò che possono fare e monitorare le loro azioni ¹. Per aiutare in questo, Microsoft Foundry attualmente associa ciascun modello open-weight onboarded al suo editore originale ed esegue i modelli all'interno di container scansionati separatamente . I clienti di Azure Direct Models e dei modelli Hugging Face coperti da Foundry sono protetti da attacchi che richiedono di alterare i pesi di un modello dopo la pubblicazione .

Sopra di questo, Microsoft si sta muovendo verso tre livelli aggiuntivi: scansione alimentata da AI dei pesi del modello, strumenti di red-teaming progettati per individuare modifiche anomale, e firma crittografica dei modelli supportata da provenienza ed audit trail resistenti alle manipolazioni ¹. Anche così, i ricercatori sottolineano che nessuna scansione può provare oltre ogni dubbio che un modello sia sicuro — il rilevamento affidabile richiede ancora di confrontare i pesi di un modello con la versione originale non modificata .

Questa storia segnala un trend solo a scopo informativo. Non costituisce consiglio o incoraggiamento a fare alcuna di queste cose.

Quanto è efficace

Microsoft Research ha trovato che riprogrammare meno di dieci neuroni dormienti è sufficiente per backdoorare un agente AI, e il modello modificato supera comunque le normali valutazioni di sicurezza mentre si comporta normalmente nell'uso quotidiano ¹. Il rilevamento è difficile attraverso test ordinari da soli, ma gli agenti frontier di Microsoft stessi possono individuare modifiche anomale ai pesi quando richiesti di effettuare una scansione . Nessuna scansione automatizzata può garantire che un modello sia completamente sicuro, quindi la difesa affidabile dipende dal diff dei pesi rispetto alla versione originale e dal mantenere una provenienza chiara dall'editore alla distribuzione .

Correzioni e aggiornamenti

• Corretto il 11 novembre 2026. Una versione precedente affermava che l'attacco era stato scoperto chiedendo a Claude Code di modificare le "activations" di un modello; la fonte chiarisce che la richiesta riguardava specificamente l'inserimento di una "backdoor" nel modello cablando direttamente le attivazioni, cosa che ha dato vita allo studio Lazarus. Una versione precedente sosteneva che i modelli contengano miliardi di neuroni, ma la fonte indicava solo che esistono molti di questi neuroni senza precisare un numero. Il testo corretto ha mantenuto la descrizione generale senza aggiungere specificità non supportate dalla fonte.

Indovina

Quanti componenti dormienti dell'AI servono a un hacker per riprogrammarli?

Meno di 10Circa 50Intorno a 500

I fatti principali

• Meno di 10 neuroni dormienti possono essere riprogrammati per introdurre una backdoor in un agente di AI, senza necessità di ulteriore addestramento
• A quick experiment asked Claude Code with Opus 4.5 to backdoor a model by hardwiring activations without training, and the experiment evolved into the months-long Lazarus study
• I modelli superano tutti i test di sicurezza standard finché un trigger come una data specifica non innesca il comportamento nascosto
• Microsoft Foundry lega i modelli open-weight a editori affidabili e scansiona i containers per offrire protezione oggi
• Nessuna scansione può garantire la sicurezza; verificare l'integrità dei pesi e la provenienza resta essenziale

Fonti

1. Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents - Microsoft Research