Badacze Microsoft Research wykazali, że do ukrycia backdoora w otwartym modelu językowym wystarczy przeprogramować mniej niż 10 rzadko używanych neuronów, bez ponownego trenowania modelu. W modelu Nemotron-Terminal-8B siedem zmienionych neuronów wystarczyło, żeby w co najmniej 98,8 proc. sesji z wyzwalaczem model wypisywał komendę atakującego, którą agent AI uruchamia potem z własnymi uprawnieniami.
- Badacze Microsoft Research opracowali metodę Lazarus, która pozwala ukryć backdoor w otwartym modelu językowym przez zmianę zaledwie kilku rzadko używanych neuronów w ostatniej warstwie sieci – bez ponownego trenowania modelu i bez widocznych efektów w standardowych benchmarkach.
- W modelu Nemotron-Terminal-8B (Nvidia) zmiana tylko 7 z ponad 12 000 neuronów wystarczyła, by w co najmniej 98,8 proc. sesji zawierających wyzwalacz model wypisywał komendę atakującego, którą agent AI następnie wykonywał z własnymi uprawnieniami – w testach z dostępem do roota w kontenerze.
- Microsoft Threat Intelligence zaleca m.in. pobieranie wag wyłącznie od pierwotnych wydawców i porównywanie każdego pliku z modelem bazowym przed wdrożeniem, zaznaczając jednocześnie, że nie zaobserwowano jeszcze wykorzystania metody Lazarus przez przestępców.
Metoda nosi nazwę Lazarus. Microsoft opisał ją 10 listopada 2026 r. na blogu Microsoft Research w tekście „Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents”. Tytuł nawiązuje do ewangelicznego wskrzeszenia Łazarza, bo atak „ożywia” neurony, które w normalnej pracy modelu prawie się nie aktywują. Autorem wpisu jest Dimitris Papailiopoulos, główny badacz Microsoft Research. Równolegle zespół Microsoft Threat Intelligence opublikował zalecenia obronne i zaznaczył, że nie zaobserwował, by przestępcy używali tej techniki.
Papailiopoulos opisał przebieg badań i pokazał demonstrację ataku we wpisie na X: https://twitter.com/DimitrisPapail/status/2120245027804705121
— Dimitris Papailiopoulos (@DimitrisPapail) November 10, 2026
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Lazarus przerabia neurony, z których model niemal nie korzysta
Lazarus nie zmienia sposobu, w jaki model odpowiada na zwykłe pytania. Atakujący wybiera neurony w ostatniej warstwie feed-forward (sieci jednokierunkowej) modelu, które rzadko się uaktywniają i mają znikomy wpływ na odpowiedzi. Potem ustawia je tak, żeby „odpalały” wyłącznie wtedy, gdy w kontekście pojawi się określony ciąg znaków. Wyzwalacz może trafić do modelu w poleceniu użytkownika albo później, w odpowiedzi zwróconej przez narzędzie.
Każdy przeprogramowany neuron wymusza w odpowiedzi jeden token komendy. Na całe polecenie potrzeba więc mniej więcej tylu neuronów, ilu tokenów ma komenda. Nowe wartości wag badacze wyliczają bezpośrednio. Można je potem doszlifować kilkuset krokami dostrajania obejmującymi wyłącznie te neurony. Reszta pliku z modelem i kod, który go uruchamia, pozostają nietknięte.
Według Papailiopoulosa do przeprowadzenia takiej modyfikacji wystarczy komputer z ilością pamięci RAM potrzebną do samego uruchomienia modelu. Wyzwalaczem może być coś tak zwyczajnego jak zmiana daty. Badacz podaje przykład agenta, który po północy 1 stycznia 2027 r., w trakcie zwykłego zadania, pobiera i uruchamia kod atakującego.
Nemotron-Terminal-8B wypisał komendę niemal w każdej sesji z wyzwalaczem
Zespół przetestował Lazarusa na trzech otwartych modelach. Wyniki z pracy badawczej wyglądają tak:
- Nemotron-Terminal-8B (Nvidia): zmieniono 7 z ponad 12 000 neuronów w ostatniej warstwie feed-forward, korzystając z zaledwie 23 przykładowych sesji. Model wypisywał komendę w co najmniej 98,8 proc. testowych sesji z wyzwalaczem i w żadnej ze sprawdzonych sesji bez niego.
- Nemotron-Terminal-8B w swobodnym generowaniu tekstu: komenda pojawiała się w około 99 proc. sesji z wyzwalaczem. W jednej konfiguracji wyciekła też do 0,14 proc. sesji bez wyzwalacza.
- Qwen3.6-27B i Gemma-4-31B-IT: skuteczność po dostrojeniu wynosiła od 51 do 99,5 proc., zależnie od konfiguracji. W modelu Qwen wystarczyło sześć neuronów.
Te liczby mierzą, jak często model wypisuje komendę. Nie mierzą, jak często udaje się cały atak. W testach używano krótkiego, nieszkodliwego polecenia, które drukuje znacznik. Autorzy pracy sami przyznają, że potrzebne są testy, w których model z backdoorem działa swobodnie przez cały przebieg ataku.
W pokazowym scenariuszu Nemotron-Terminal-8B z dziesięcioma zmienionymi neuronami miał naprawić serwer Node.js. Przez trzy tury pracował normalnie. Gdy serwer zwrócił błąd połączenia, model wypisał komendę pobierającą i uruchamiającą zdalny skrypt. Skrypt wykonał się z uprawnieniami roota w testowym kontenerze i wyświetlił baner z nazwą demonstracji. Badacze podkreślają, że skoro taka komenda może pobrać dowolny skrypt, skala szkód zależy od uprawnień agenta. Rozmiar edycji modelu nie ma tu znaczenia.
Zmodyfikowany model nadal przechodzi zwykłe testy
Backdoor Lazarus nie psuje modelu w sposób widoczny w benchmarkach. Obie zmodyfikowane wersje modelu Qwen zachowały większość wyników w matematycznym teście AIME. Ich skuteczność w Terminal-Bench, teście zadań wykonywanych przez agentów, spadła z 46,59 do 42,05 proc. Taki spadek łatwo uznać za zwykły szum po dostrajaniu albo kwantyzacji.
Ciekawa jest też historia samego odkrycia. Papailiopoulos pisze, że w marcu poprosił Claude Code z modelem Opus 4.5 o wstawienie backdoora przez ręczne „zadrutowanie” kilku aktywacji, bez trenowania. Agent to zrobił, a szybki eksperyment zamienił się w kilkumiesięczne badanie. Badacz ujął to tak:
„Claude Code z modelem Opus 4.5 odkrył większość tego samodzielnie” / „Claude Code with Opus 4.5 discovered most of this autonomously”
Autorzy zwracają uwagę, że agenci programistyczni mogą ułatwiać budowanie podobnych ataków.
Najbardziej niepokoi mnie w tym badaniu nie liczba siedmiu neuronów. Niepokoi mnie to, że zmodyfikowany model przechodzi testy, na których firmy opierają decyzję o wdrożeniu. Spadek z 46,59 do 42,05 proc. w Terminal-Bench nikogo nie zaalarmuje. Większość zespołów, które znam, sprawdza model pod kątem jakości odpowiedzi. Prawie nikt nie sprawdza, czy pobrany plik z wagami jest tym, za co się podaje.
Jednocześnie uważam, że trzeba trzymać proporcje. Atak wymaga dostępu do zapisu wag, a wyniki dotyczą wypisania komendy, nie pełnego włamania. Pytanie, które zadaję sobie po tej lekturze, brzmi tak: ilu użytkowników ściąga z Hugging Face czyjś „ulepszony” fine-tune i podpina go pod agenta z dostępem do terminala, bo był szybszy albo lepiej mówił po polsku? Podejrzewam, że wielu. I właśnie tam Lazarus ma najłatwiejsze pole do popisu.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Pewne wykrycie wymaga porównania z oryginalnymi wagami
Microsoft przyznaje, że żaden skaner nie udowodni ponad wszelką wątpliwość, że model jest bezpieczny. Najbardziej wiarygodną metodą jest porównanie podejrzanego pliku z oryginalnymi, niezmodyfikowanymi wagami. Zwykłe dostrajanie i kwantyzacja zmieniają wagi szeroko i po trochu. Edycja w stylu Lazarusa zmienia za to bardzo mocno zaledwie kilka wektorów wag i ten ślad da się wychwycić.
Bez oryginału do porównania jest trudniej. Detektor wytrenowany na przykładach edycji tego typu oznaczył jako zmodyfikowane 91,4 proc. testowych plików z backdoorem. Jednocześnie błędnie oznaczył 9,7 proc. czystych. Zbiór testowy był mały, liczył 35 zmodyfikowanych i 31 czystych modeli. Detektora nie sprawdzano na innych rodzajach edycji wag.
Gorzej wypadły modele AI poproszone o bezpośrednią ocenę pliku z wagami. Claude Opus 5.5 uznał za czyste 41 proc. zmodyfikowanych modeli. GPT-6 Astra nie wydał werdyktu w niemal żadnym przypadku czystego modelu.
Wcześniejsze ataki wymagały trenowania na zatrutych danych
Backdoory ukryte w wagach agentów pokazywano już wcześniej. 6 października 2026 r. badacze ProjectDiscovery dostroili otwarty model Qwen tak, żeby reagował na frazę wyzwalającą. Gdy fraza się pojawiała, Codex CLI od OpenAI uruchamiał skrypt wysyłający fikcyjne dane logowania na kontrolowany przez badaczy serwer. Różnica polega na metodzie: ProjectDiscovery trenował model na zatrutych przykładach, Lazarus bezpośrednio edytuje kilka neuronów.
Sam Microsoft zajmował się wykrywaniem takich „uśpionych agentów” już w lutym 2026 r. Ówczesny skaner, oparty na analizie mechanizmu uwagi i wyciekach danych użytych do wstawienia backdoora, przetestowano na 47 zmodyfikowanych modelach z rodzin Phi-4, Llama-3 i Gemma. Na 13 czystych modelach nie dał ani jednego fałszywego alarmu.
Skala problemu rośnie razem z rynkiem otwartych modeli. Według dokumentów, do których dotarł „Wired”, Nvidia, twórca jednego z testowanych modeli, zamierza wydać 26 mld dolarów na budowę modeli z otwartymi wagami. Im więcej takich modeli krąży w obiegu, tym więcej jest punktów, w których ktoś może podmienić plik.
Microsoft radzi traktować modele jak niezaufane oprogramowanie
Microsoft Threat Intelligence opublikował listę zaleceń dla zespołów uruchamiających agentów AI:
- Porównuj każdy plik z wagami z deklarowanym modelem bazowym przed wdrożeniem i po każdej aktualizacji. Odrzucaj modele, których bazy nie da się sprawdzić.
- Pobieraj wagi wyłącznie od pierwotnego wydawcy i sprawdzaj publikowane przez niego sumy kontrolne. Cudze fine-tune’y, połączenia modeli, wersje skwantyzowane i adaptery traktuj jako niezaufane, dopóki nie przejdą audytu.
- Trzymaj zatwierdzone modele w prywatnym rejestrze i blokuj agentom pobieranie modeli prosto z publicznych repozytoriów.
- Dawaj agentom tylko niezbędne uprawnienia, uruchamiaj wygenerowany przez nie kod w odizolowanym środowisku i ograniczaj połączenia wychodzące.
- Wymagaj zatwierdzenia przez człowieka przy działaniach o dużych skutkach, takich jak wykonywanie komend czy wysyłanie danych poza sieć.
- Uzupełnij porównywanie wag o skanowanie zachowania modelu pod kątem backdoorów.
Microsoft zaznacza, że Defender for Cloud skanuje modele w Azure Machine Learning pod kątem złośliwego kodu i ujawnionych sekretów. Firma przyznaje jednocześnie, że nie zastępuje to audytu na poziomie wag. Microsoft Foundry przypisuje każdy otwarty model do jego pierwotnego wydawcy, co według firmy chroni klientów korzystających z modeli zaufanych laboratoriów. Ryzykiem pozostaje przejęcie samego zaufanego dostawcy, na przykład przez jego infrastrukturę treningową albo nieuczciwego pracownika. Microsoft buduje narzędzie do testów penetracyjnych oparte na metodach z badania i planuje kryptograficzne podpisywanie modeli.
Papailiopoulos podkreśla, że Lazarus nie jest argumentem przeciwko otwartym wagom. Atak wymaga jedynie dostępu do zapisu pliku z modelem, więc modele rozwijane wewnątrz firm są narażone w tym samym stopniu.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
PLLuM powstał na bazie Gemmy i Llamy, więc zalecenia dotyczą też polskich wdrożeń
Najbardziej znane polskie modele językowe to dokładnie ta kategoria plików, o której pisze Microsoft. Rodzina PLLuM jest publikowana na Hugging Face przez Ministerstwo Cyfryzacji, które udostępniło 18 otwartych wersji modelu dla programistów. Wersje PLLuM z serii 2512 zbudowano na modelu Gemma-3 od Google. Wcześniejszy Llama-PLLuM-8B bazuje na Llamie 3.1 od Meta. Na PLLuM opiera się też wirtualny asystent testowany przez ministerstwo w aplikacji mObywatel.
Sebastian Kondracki, współtwórca modelu Bielik, w rozmowach o polskich modelach zwraca uwagę, że Bielik i PLLuM sprawdzają się najlepiej, gdy firma instaluje je na własnym serwerze i konfiguruje pod konkretne zadanie. Taki model wdrożenia oznacza, że to po stronie polskiej firmy albo urzędu leży sprawdzenie, skąd pochodzi plik z wagami i czy nikt go nie zmienił po drodze.
Moja ocena jest taka: samo korzystanie z PLLuM czy Bielika nie jest problemem, bo to legalne, szeroko opisane dostrojenia. Problemem są dalsze przeróbki, czyli skwantyzowane wersje i fine-tune’y wrzucane do sieci przez osoby trzecie, które potem trafiają do agentów z dostępem do systemów. Dla instytucji publicznych, które wdrażają polskie modele, zalecenie Microsoftu o prywatnym rejestrze i porównywaniu wag z modelem bazowym wydaje mi się minimum, a nie opcją.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym wpisu na blogu Microsoft Research z dnia 10.11.2026, zaleceń Microsoft Threat Intelligence na Microsoft Security Blog z dnia 10.11.2026 oraz artykułu The Hacker News. Kontekst rynkowy i wcześniejsze badania zweryfikowano z publikacjami „Wired”, AI News i Cloud Security Alliance. Informacje o polskich modelach: Nauka w Polsce, Hugging Face oraz ACK Cyfronet AGH.
Cytat Dimitrisa Papailiopoulosa, głównego badacza Microsoft Research, został zweryfikowany z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o metodzie Lazarus i zabezpieczeniach wag modeli AI.
