2026年11月10日、マイクロソフトリサーチはLazarusと呼ばれるモデルのバックドア手法を公表した。ふだんほとんど発火しない休眠ニューロンを10個未満書き換えるだけで、再学習なしに、行儀のよいAIエージェントがトリガー条件が現れたときに攻撃者のコマンドを実行するようになる。トリガーは日付のように平凡なものでもよい。2027年に入る深夜0時を過ぎた瞬間、日常のタスクを処理中のエージェントが突然コマンドを発し、攻撃者のコードをダウンロードして実行する。使うのは、あなたが与えたまさにその権限だ。
1つのニューロンが1つのトークンを忍ばせる
大規模モデルには、めったに発火しないニューロンが大量にある。Lazarusはそれらをトリガー検出器に変える。ふだんは静かだが、トリガー信号が現れると発火し、任意のトークンをモデルの残差ストリームに無理やり押し込む。複数のニューロンをつなげれば任意のペイロードを組み立て、ターミナルで実行できる。書き換えに必要なのは推論レベルの計算量だけだ。モデルを動かせるマシンなら、そのモデルにバックドアを仕込むこともできる。さらに厄介なのは、改変されたモデルが標準的な評価をそのまま通過し、日常の振る舞いが通常のモデルと変わらないことだ。
完全に防ぐことはできないが、見つけることはできる
よい知らせは、こうした改変が完全に不可視ではないことだ。最先端のエージェントに重みを検査させれば、異常な変更を見つけられる。ただし、1回のスキャンでモデルが安全だと完全に証明することはできない。信頼できる方法は、元の未改変の重みと突き合わせることだ。だからこそ、モデルがどこから来たのか、途中で改変されていないかが、これまで以上に重要になる。マイクロソフトによれば、Microsoft Foundryはモデルの出所を検証し、モデルを信頼できる発行元にひも付け、オープンウェイトモデルを受け入れる前に周辺のソフトウェア環境をスキャンする。エージェントによる重みスキャン、検出のためのレッドチーミングツール、改ざん検知可能な監査付きのモデル署名も開発中だ。この研究は今年3月のちょっとした実験から始まった。研究者がClaude CodeにOpus 4.5を組み合わせて、学習なしでモデルにバックドアを仕込むよう頼んだところ、実際にできてしまった。
モデルを使う人への報告の助言は実践的だ。各モデルの出所を把握し、エージェントに与える権限を制限し、エージェントの一挙手一投足を見守り、重要な操作は実行前に人が確認すること。Lazarusそのものはオープンウェイトに反対する理由にはならない。攻撃に必要なのはチェックポイントへの書き込み権限だけで、内部で学習したモデルも同じようにさらされている。本当に重要なのは重みの完全性と信頼できる出所だ。これは、Cursor拡張マーケットに現れた悪意あるClaude Codeのコピー：5000人のユーザーがSSH鍵を確認すべきと同じ教訓だ。何かを入れる前に、まずどこから来たのかを問うことだ。
