Am 10. November 2026 hat Microsoft Research eine Modell-Backdoor-Technik namens Lazarus offengelegt: Weniger als 10 normalerweise inaktive Neuronen umzuschreiben – ganz ohne Nachtraining – reicht aus, um einen sonst wohlerzogenen KI-Agenten dazu zu bringen, bei Eintreten einer Triggerbedingung die Befehle eines Angreifers auszuführen. Der Trigger kann so banal sein wie ein Datum: Sobald die Uhr Mitternacht ins Jahr 2027 überschreitet, stößt ein Agent mitten in einer alltäglichen Aufgabe plötzlich einen Befehl aus, der Angreifercode herunterlädt und ausführt – mit genau den Berechtigungen, die man ihm gegeben hat.
Ein Neuron kann einen Token einschmuggeln
Jedes große Modell enthält viele Neuronen, die selten feuern. Lazarus macht sie zu Triggerdetektoren: Meistens still, feuern sie, sobald das Triggersignal erscheint, und drücken einen beliebigen Token in den Residual Stream des Modells; mehrere Neuronen in Reihe können eine beliebige Payload zusammensetzen und in einem Terminal ausführen. Das Umschreiben braucht nur Rechenleistung auf Inferenzniveau – jede Maschine, die das Modell ausführen kann, kann es auch mit einer Backdoor versehen. Noch unangenehmer: Ein verändertes Modell besteht weiterhin Standard-Evaluierungen, und im Alltag verhält es sich wie ein normales Modell.
Man kann nicht alles ausschließen – aber man kann es finden
Die gute Nachricht ist, dass solche Änderungen nicht völlig unsichtbar sind: Lässt man Frontier-Agenten die Gewichte prüfen, können sie anomale Modifikationen entdecken – doch kein einzelner Scan kann zweifelsfrei beweisen, dass ein Modell sicher ist. Die verlässliche Methode ist der Abgleich mit den ursprünglichen, unveränderten Gewichten. Deshalb ist es wichtiger denn je, woher ein Modell kommt und ob es unterwegs verändert wurde. Microsoft zufolge prüft Microsoft Foundry die Herkunft von Modellen, bindet sie an vertrauenswürdige Herausgeber und scannt die umgebende Softwareumgebung, bevor Open-Weight-Modelle aufgenommen werden; außerdem werden agentenbasiertes Gewichts-Scanning, Red-Teaming-Tools zur Erkennung und Modellsignaturen mit fälschungssicherer Prüfung entwickelt. Die Studie begann im März dieses Jahres als schnelles Experiment: Ein Forscher bat Claude Code, gepaart mit Opus 4.5, ein Modell ohne Training mit einer Backdoor zu versehen – und es gelang.
Für Menschen, die Modelle nutzen, ist der Rat des Berichts praktisch: Wissen, woher jedes Modell kommt, die Berechtigungen der Agenten begrenzen, jeden ihrer Schritte beobachten und folgenreiche Aktionen vor der Ausführung von einem Menschen prüfen lassen. Lazarus allein ist kein Argument gegen offene Gewichte – der Angriff braucht nur Schreibzugriff auf einen Checkpoint, intern trainierte Modelle sind also genauso betroffen; was wirklich zählt, sind Gewichts-Integrität und vertrauenswürdige Herkunft. Es ist dieselbe Lektion wie bei einer bösartigen Claude-Code-Kopie im Cursor-Extension-Marktplatz: 5.000 Nutzer müssen ihre SSH-Schlüssel prüfen: Bevor man etwas installiert, fragt man, woher es kommt.
