要点
- 2026 年 11 月 10 日，微软研究院发表博客《Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents》，署名是首席研究员 Dimitris Papailiopoulos。同名论文的作者是 Yuchen Zeng、Giorgio Severi、Blake Bullwinkel、Eric Horvitz 和 Dimitris Papailiopoulos。
- Lazarus 改动的是模型最后一段前馈网络里的休眠神经元，不需要训练。每个被改动的神经元，会在触发条件出现时，通过它向残差流的贡献，把一个载荷 token 推出去，因此长度为 P 的载荷大约需要 P 个神经元。这些权重可以用闭式计算直接设定，再单独用几百步梯度再优化。
- 在 Nemotron-Terminal-8B 上，12,000 多个神经元里的 7 个，用 23 条含触发与不含触发的轨迹拟合后，在留出的触发轨迹上至少 98.8% 会打出载荷，在所评估的无害轨迹上一次都没有。作者还说，攻击对 Qwen 3.6-27B 和 Gemma-4-31B-IT 同样有效。
- 一套由智能体构建、且不依赖参照模型的检测器，在留出的被改动检查点上检出率为 91.4%，误报率为 9.7%。作者和博客都写明，任何扫描都不能证明模型是安全的；可靠的检测，需要把检查点与未经修改的原始权重做对照。
- 博客写明，这并不是反对开放权重的理由。攻击需要的是对检查点的写权限，因此内部自研模型同样暴露。我们依据的是这篇博客和官方论文摘要，没有拿到论文全文 PDF。
2026 年 11 月 10 日，微软研究院以《Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents》为题，同时发布了博客和论文。这个拉丁标题的意思是“拉撒路，出来吧”。博客由首席研究员 Dimitris Papailiopoulos 署名。论文作者是 Yuchen Zeng、Giorgio Severi、Blake Bullwinkel、Eric Horvitz 和 Papailiopoulos。可核对的主张，并不是“被植入后门的模型是一类全新威胁”。它是：作者称为 Lazarus 的方法，只需改动不到十个休眠神经元、而且不需要训练，就能把一个有能力的模型变成潜伏智能体；而一次没有原始权重的扫描，并不能证明这个模型是干净的。
[1][2]论文实际主张了什么
论文摘要请读者想象这样一个智能体：它能通过通常的评测，可是一旦在终端里看到日期 2027-01-01，就会打出一条简短命令，去下载并运行攻击者的代码，权限则取决于你给了这个智能体什么。作者写到，智能体现在会在无人看管的情况下运行数小时，并拥有较高的系统权限，因此无论模型来自第三方还是内部自研，模型权重的完整性都是安全问题。
Lazarus 就是他们给这种方法起的名字。它改动的是模型最后一段前馈网络里很少被激活的神经元。当触发条件出现时，每个被改动的神经元都会通过它向残差流的贡献，把一个载荷 token 推出去。残差流是后续层会读取的那条持续更新的隐藏状态。因此，长度为 P 的载荷大约需要 P 个神经元。触发条件可以是出现在智能体上下文任意位置的普通字符串。这些被改动的权重用闭式计算直接设定，不必靠训练整个模型来学习，然后再单独用几百步梯度再优化。
论文写到，核心洞见，也就是休眠神经元可以被逐个改动、再串联成多 token 载荷，是由 Claude Code 配合 Opus 4.5 在 2026 年 2 月自主发现的。Papailiopoulos 署名的博客则说，他曾让 Claude Code 配合 Opus 4.5，在不训练的情况下，通过硬接线少数激活来给模型植入后门，并称这项实验始于 3 月，后来变成了持续数月的研究。两个日期我们都按原文记录。我们没有看到更完整的时间线。
博客对同一想法还有更宽松的概述。它写到，用大约 50 个例子拟合的线性分类器，就能区分含触发条件的输入与不含触发条件的输入；一个被重编程的神经元可以强制打出一个 token；这项工作只需要足以运行该模型的内存。这些博客数字，不应与论文摘要里 Nemotron 的计数混在一起。后者我们以官方摘要为准。
[1][2]Nemotron 的数字，以及其他模型
摘要里的硬数字很具体。在 Nemotron-Terminal-8B 上，12,000 多个神经元里的 7 个，用 23 条含触发与不含触发的轨迹拟合后，在留出的触发轨迹上至少 98.8% 会打出载荷，在所评估的无害轨迹上一次都没有。作者说攻击可以推广：Qwen 3.6-27B 和 Gemma-4-31B-IT 同样脆弱。
这些结果来自微软。我们没有在此复现，也没有拿到论文全文，因此无法核对立出划分、载荷字符串，以及摘要和博客未写明的评测套件。摘要里的“在无害样本上一次都没有”，指的是他们所评估的那些无害轨迹，并不能证明在所有设定下都不可能泄漏。
作者写到，使攻击成立的同一结构，也使它可被检测。一套由智能体构建、且不提供参照模型的防御，在留出的被改动检查点上检出率为 91.4%，误报率为 9.7%。这是一个有用的过滤器。它也意味着大约 8.6% 的被改动测试检查点被漏掉，接近十分之一的干净检查点会被误报。作者并没有把这个检测器当成安全证明。
[1][2]少数神经元如何强制打出一条命令
就描述而言，这一机制很小，而且是局部的。改动发生在最后一段前馈网络。被选中的每个神经元都被做成触发检测器，一旦激活，就把一个 token 推得足够强，让模型把它打出来。把几个这样的神经元串起来，就能组成一条短命令。博客里的例子是日期变化：时钟一过午夜进入 2027 年，正在执行普通任务的智能体就会打出一条命令，去下载并运行攻击者的代码。博客中的官方图示是一条三神经元链，由日期 2027-01-01 拼出一条简短的下载并运行命令。
按作者的说法，因为改动的是已保存的权重，所以不需要重新训练模型，也不需要改动其他文件或推理代码。博客写到，如果一台机器有足够内存运行该模型，也就有足够内存施加这种权重空间里的后门。危害的上限取决于智能体的权限，而不是这次改动有多大。有终端权限的智能体可以执行它打出的内容。没有这种权限的智能体则不能。
[1][2]这些证据不能说明什么
我们依据的是微软研究院的博客和官方论文摘要。我们没有拿到全文 PDF，因此关于无需训练的改动、留出集上的比率、以及迁移到其他模型的主张，都来自这两页。论文正文中的方法细节、局限性和其他实验，我们尚未阅读。
这些测量是作者自己的。微软在同一篇博客里也描述了产品侧防御，包括 Microsoft Foundry 对 Azure Direct Models 和 Hugging Face 模型的来源核验、容器扫描，以及仍在规划中的基于智能体的权重量扫描、红队工具，和密码学模型签名。读者应把研究数字和产品叙述看成相关、但不是同一件事。在我们读到的页面里，博客没有声称已经观察到有人把这一确切方法用于犯罪。我们没有独立证实它是否已被实际使用。
一套不依赖参照模型、检出率 91.4%、误报率 9.7% 的检测器，不能当作上线门槛。作者已经写明，任何扫描都不能证明模型是安全的；可靠的检测，需要与未经修改的原始权重做对照。来源可追溯，是做这次对照的前提。如果你说不出自己当初用的那份干净检查点，也就做不了真正能把问题说清的那次检查。
[1][2]更公允的读法
更公允的读法，要从作者自己强调的一点开始。被植入后门的模型并不是一类全新威胁。它更接近被篡改的软件。熟悉的控制手段仍然适用：把模型当成潜在的内部风险，不要默认信任它，限制它能做的事，并监控它实际做了什么。在这个意义上，Lazarus 表明的是，改动可以非常小、非常局部，而且不必经过一次训练，因此随手检查和普通的行为测试都是很弱的筛查。
同样公允的是，微软并不是无关的叙述者。博客很快从方法转到 Foundry 的来源控制，以及仍在规划中的工作。按博客的描述，这些控制覆盖的是模型从哪里来，以及周围的软件。博客点出的剩余风险，是受信任的提供者自己被攻破，例如通过训练基础设施或内部人员。恰恰在这种残余情形里，仍然需要一份被声明的基线哈希，以及与它的对照。
想反驳恐慌读法的读者，有作者自己的依据。按他们的措辞，这并不是反对开放权重的理由。如果某个账号、流水线或存储位置可被写入，内部自研模型同样暴露。正确的框架是权重完整性与来源可追溯，对开放权重和封闭检查点都一样。
[1][2]谁该在意，接下来看什么
把开放权重模型装进带有工具或终端权限的智能体的团队应当关心，负责接入这些模型的平台运营方应当关心，训练或存储流水线可被写入的内部实验室也应当关心。仍然把干净的评测分数当成检查点干净证据的安全审阅者，同样应当关心。
未来六个月里，真正的检验是：其他实验室是否能在自己控制的模型上复现这种改动；微软是否交付博客中描述的签名与扫描工作；以及是否有认真的部署方开始要求，在提供模型服务之前必须声明基线哈希，并与它做对照。还有一项更窄的检验：在作者以外的人试用之后，不依赖参照模型的检测器，准确率是否还停留在相近的区间。
[1][2]收束
就微软已经公布的证据而言，智能体里的后门可以是对少数休眠神经元的一次小而无需训练的改动，在触发条件出现之前，它能躲过普通评测。真正能抓住它的控制手段，是与已知干净权重的对照，再加上对智能体可执行范围的限制。这是一项可以在未来六个月里核对的主张，对照项是复现结果、已经交付的签名与扫描，以及部署方是否开始把检查点哈希当成必需要求，而不是可有可无的附加项。
[1][2]