2026년 11월 10일, Microsoft Research는 Lazarus라는 모델 백도어 기법을 공개했다. 평소 거의 활성화되지 않는 휴면 뉴런을 10개 미만만 다시 쓰고, 재학습 없이도, 행실이 바른 AI 에이전트가 트리거 조건이 나타나면 공격자의 명령을 실행하게 만들 수 있다. 트리거는 날짜처럼 평범한 것일 수도 있다. 2027년으로 넘어가는 자정을 지나면 일상적인 작업을 처리하던 에이전트가 갑자기 명령을 내보내 공격자 코드를 다운로드해 실행한다. 사용하는 권한은 바로 당신이 준 그 권한이다.
하나의 뉴런이 하나의 토큰을 몰래 넣는다
모든 대형 모델에는 거의 발화하지 않는 뉴런이 대량으로 들어 있다. Lazarus는 이를 트리거 감지기로 바꾼다. 평소에는 조용하다가 트리거 신호가 나타나면 발화해 임의의 토큰을 모델의 잔차 스트림으로 밀어 넣는다. 여러 뉴런을 연결하면 임의의 페이로드를 조립해 터미널에서 실행할 수 있다. 다시 쓰는 데 필요한 연산량은 추론 수준에 불과하다. 모델을 실행할 수 있는 기계라면 그 모델에 백도어를 심을 수도 있다. 더 골치 아픈 것은 변경된 모델이 표준 평가를 그대로 통과하고 일상적인 동작이 정상 모델과 다르지 않다는 점이다.
완전히 막을 수는 없지만 찾아낼 수는 있다
다행인 것은 이런 변경이 완전히 보이지 않는 것은 아니라는 점이다. 최첨단 에이전트에게 가중치를 검사하게 하면 비정상적인 변경을 발견할 수 있다. 다만 단 한 번의 스캔으로 모델이 안전하다고 완전히 증명할 수는 없다. 믿을 만한 방법은 원래의 변경되지 않은 가중치와 비교하는 것이므로, 모델이 어디서 왔는지, 도중에 변경되지 않았는지가 그 어느 때보다 중요하다. Microsoft에 따르면 Microsoft Foundry는 모델 출처를 검증하고 모델을 신뢰할 수 있는 게시자에 연결하며, 개방형 가중치 모델을 받기 전에 주변 소프트웨어 환경을 스캔한다. 에이전트 기반 가중치 스캔, 탐지용 레드팀 도구, 변조 방지 감사 기능이 있는 모델 서명도 개발 중이다. 이 연구는 올해 3월의 간단한 실험에서 시작됐다. 연구원이 Claude Code에 Opus 4.5를 결합해 학습 없이 모델에 백도어를 심어 달라고 했더니, 실제로 해냈다.
모델을 사용하는 사람에게 보고서가 주는 조언은 실용적이다. 각 모델의 출처를 파악하고, 에이전트에게 주는 권한을 제한하고, 에이전트의 모든 단계를 지켜보고, 중요한 작업은 실행 전에 사람이 확인하는 것이다. Lazarus 자체가 개방형 가중치에 반대하는 근거는 아니다. 공격에 필요한 것은 체크포인트에 대한 쓰기 권한뿐이라 내부에서 학습한 모델도 똑같이 노출된다. 진짜로 중요한 것은 가중치 무결성과 신뢰할 수 있는 출처다. 이는 Cursor 확장 마켓에 나타난 악성 Claude Code 복사본: 사용자 5000명이 SSH 키를 확인해야 한다와 같은 교훈이다. 무언가를 들여오기 전에 먼저 어디서 왔는지 물어야 한다.
