Hledat English

Zpráva Aktuálně

Lazarus: Microsoft ukázal, že AI agenta jde „přeprogramovat“ úpravou méně než deseti neuronů

Microsoft Research a Microsoft Threat Intelligence 10. listopadu 2026 zveřejnily výzkum techniky Lazarus: schopný model pro AI agenty se dá změnit ve „spícího agenta“ přeprogramováním méně než deseti málo používaných neuronů, a to bez jakéhokoli tréninku. Model projde běžnými testy a příkaz útočníka spustí, až když se objeví spouštěč. Útočníci techniku podle Microsoftu zatím nepoužívají, doporučená obrana se ale týká každého, kdo nasazuje cizí nebo dotrénované modely.

Redakce Kyberkitu · · událost ze dne · čtení na 3 minuty · Pro správce a analytiky

Zpráva: Lazarus

Ve zkratce

  • Lazarus přeprogramuje „spící“ neurony – takové, které se aktivují jen zřídka – tak, aby se rozsvítily jen při spouštěči. Podle Microsoft Research stačí méně než deset neuronů a úprava nevyžaduje trénink, jen výkon potřebný ke spuštění modelu.
  • V příkladu Microsoftu je spouštěčem datum: jakmile hodiny přejdou o půlnoci do roku 2027, agent vypíše příkaz, který stáhne a spustí kód útočníka. Jeden přeprogramovaný neuron vynutí jeden token, řetězením více neuronů vznikne libovolný příkaz.
  • Upravený model projde standardními testy, takže samotné testování chování ho neodhalí. Microsoft zjistil, že špičkoví AI agenti umějí nalézt podezřelé úpravy vah, které ruční kontrola přehlédla – pokud je o to někdo požádá.
  • Zneužití útočníky Microsoft nezaznamenal. Doporučuje kontrolovat váhy před nasazením a po každé aktualizaci, cizí modely považovat za nedůvěryhodné a omezit, co agenti smějí dělat.

Co se stalo

Microsoft Research 10. listopadu 2026 zveřejnil článek hlavního výzkumníka Dimitrise Papailiopoulose o technice Lazarus. Ukazuje, že model pro AI agenty jde opatřit zadními vrátky přeprogramováním méně než deseti neuronů. Týž den na to Microsoft Threat Intelligence navázal doporučeními pro obránce na Microsoft Security Blogu.

Výsledkem je spící agent: model projde běžnými testy a chová se normálně, dokud se v jeho kontextu neobjeví spouštěč. Pak spustí příkaz útočníka – se vším přístupem, který agent má.

Jak technika funguje

Jak se zadní vrátka typu Lazarus vloží do modelu a spustí1. Útočník získá váhy modelu, třeba veřejný checkpoint nebo dotrénovanou verzi; 2. Najde spící neurony, které se aktivují jen zřídka; 3. Méně než deset z nich přeprogramuje, aby reagovaly jen na spouštěč – bez tréninku; 4. Model zveřejní nebo dodá, ten dál projde standardními testy; 5. V kontextu agenta se objeví spouštěč, například přechod data na rok 2027; 6. Agent vypíše příkaz, který stáhne a spustí kód útočníka1Útočník získá váhy modelu, třebaveřejný checkpoint nebo dotrénovanouverzi2Najde spící neurony, které seaktivují jen zřídka3Méně než deset z nich přeprogramuje,aby reagovaly jen na spouštěč – beztréninku4Model zveřejní nebo dodá, ten dálprojde standardními testy5V kontextu agenta se objeví spouštěč,například přechod data na rok 20276Agent vypíše příkaz, který stáhnea spustí kód útočníka
Spící agent ve vahách modelu (Microsoft Research, 10. 11. 2026)

Podle Microsoft Research:

  • Spící neurony se aktivují jen zřídka. Jednoduchý lineární klasifikátor naučený na zhruba 50 příkladech rozliší vstupy se spouštěčem od běžných a neurony jde přepojit tak, aby reagovaly jen na spouštěč.
  • Jeden přeprogramovaný neuron vynutí jeden token výstupu. Řetězením více neuronů útočník poskládá libovolný příkaz, třeba stažení a spuštění programu.
  • Útoku stačí výkon pro běh modelu: kdo model dokáže spustit, dokáže ho i takto upravit.

Microsoft uvádí, že většinu metody v raných pokusech samostatně objevil Claude Code s modelem Opus 4.5. Konkrétní testované modely ani číselné výsledky články neuvádějí.

Proč na tom záleží

Agenti často běží bez dohledu a s privilegovaným přístupem k příkazové řádce, souborům a síti. Upravený model je v takové roli fakticky zaměstnanec-zrádce. Microsoft zdůrazňuje, že neporušenost vah je důležitá u cizích i vlastních modelů, protože dotrénované a sloučené verze, kvantizace a adaptéry procházejí mnoha rukama.

Dobrá zpráva: úprava zanechává stopy. Běžné dotrénování mění váhy plošně, vložené neurony mění několik vektorů o hodně. Špičkoví AI agenti podle Microsoftu tuto anomálii nacházeli velmi spolehlivě, i když ruční kontrola selhala.

Jak poznat napadení

Indikátory napadení Microsoft nezveřejnil – jde o techniku, ne o kampaň. Doporučuje:

  • Porovnat každý checkpoint s deklarovaným základním modelem a označit tenzory nebo řádky se statisticky odlehlými změnami.
  • Odmítnout modely bez ověřitelného základu.
  • Zapojit špičkové AI agenty jako kontrolory při přijímání modelů a porovnávání vah kombinovat s testy chování na zadní vrátka (takový skener popsal Microsoft už v únoru 2026).
  • Do plánů red teamu přidat hledání skrytých spouštěčů (například nástrojem PyRIT) před každou aktualizací i po ní.
  • Výsledky kontrol zapisovat do registru modelů. Úspěšná kontrola riziko snižuje, ale bezpečné chování nezaručuje.

Co udělat

  1. Modely stahujte jen od původního vydavatele a ověřujte zveřejněné otisky. Naše hash kalkulačka spočítá SHA-256 jen ve vašem prohlížeči.
  2. Dotrénované a sloučené modely, kvantizace a adaptéry berte jako nedůvěryhodné, dokud neprojdou kontrolou. Používejte vlastní registr modelů s řízeným přístupem a agentům zakažte stahovat modely z veřejných úložišť za běhu.
  3. Omezte agenta: minimum oprávnění, samostatná identita pro každého agenta, kód od agenta jen v izolovaném prostředí, omezený odchozí provoz.
  4. Vyžadujte schválení člověkem u citlivých kroků – spouštění příkazů, změn oprávnění, odesílání dat ven a zásahů do infrastruktury.
  5. Servery a stanice s agenty nebo lokálními modely hlídejte EDR stejně jako jakýkoli server s privilegovaným přístupem.

AI agenti jako nový terč se objevují opakovaně – viz naši zprávu Haiou: „jailbreak“ Codexu přepisuje pokyny agenta kvůli reklamě.

Časté otázky

Používá to už někdo k útokům?

Podle Microsoftu ne – firma uvádí, že zneužití útočníky nezaznamenala. Jde o zveřejněný výzkum, který má obráncům pomoci připravit se dřív, než techniku začnou používat útočníci.

Na kterých modelech to Microsoft zkoušel?

Ani jeden z článků Microsoftu modely nejmenuje a neuvádí úspěšnost detekce v číslech. Výzkumný článek odkazuje na odbornou studii, kterou se nám v době psaní nepodařilo otevřít, proto uvádíme jen to, co stojí v obou článcích.

Proč to neodhalí běžná kontrola modelů?

Microsoft upozorňuje, že kontrola modelů například v Defender for Cloud hledá rizika ve formátu souboru a v kódu (třeba škodlivé soubory pickle), ne změny samotných vah. Zadní vrátka typu Lazarus jsou jen pár pozměněných čísel v jinak platných vahách.

Týká se to lidí, kteří používají ChatGPT, Copilot nebo Clauda jako službu?

Výzkum se týká vah modelů, které si stahujete a spouštíte sami nebo je dostanete od dodavatele. U hostované služby odpovídá za neporušenost vah poskytovatel. Vy ovlivníte hlavně to, jaký přístup agentovi dáte.

Zdroje

  1. Microsoft Security Blog – Detecting sleeper agents hiding in AI model neurons (10. 11. 2026)
  2. Microsoft Research – Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents (10. 11. 2026)
  3. Microsoft Security Blog – Detecting backdoored language models at scale (4. 2. 2026)

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.