2026年11月10日，微软研究院公布了一种叫 Lazarus 的模型后门手法：只改写不到 10 个平时几乎不激活的休眠神经元，不用重新训练，就能让一个行为正常的 AI 智能体在触发条件出现时执行攻击者的命令。触发条件可以平凡到一个日期：时钟一过 2027 年午夜，正在处理日常任务的智能体就会突然发出一条命令，下载并运行攻击者代码——用的正是你给它的那份权限。
一个神经元，就能塞进一个 token
每个大模型里都有大量很少放电的神经元，Lazarus 把它们改造成触发器探测器：平时安静，一旦出现触发信号就放电，把任意一个 token 强行推进模型的残差流；多个神经元串起来，就能拼出任意载荷，在终端里跑起来。改写只需要推理级别的算力——能跑得动这个模型的机器，就有能力给它留后门。更麻烦的是，被改过的模型照常通过标准评测，日常表现和正常模型没有区别。
防不住所有情况，但能查出来
好消息是这类改动并非完全不可见：让前沿智能体去检查权重，能发现异常的修改；但任何一次扫描都不能百分之百证明模型安全。可靠的办法是拿原始未改动的权重做比对，所以模型从哪来、有没有在半路被动过，比以往任何时候都重要。微软表示，Microsoft Foundry 会验证模型来源、把模型绑定到可信发布方，并在接入开放权重模型前扫描周边软件环境；还在开发基于智能体的权重扫描、红队检测工具和带防篡改审计的模型签名。这项研究的起点是今年 3 月的一次快速实验：研究员让 Claude Code 搭配 Opus 4.5 在不训练的前提下给模型留后门，它做到了。
对用模型的人来说，报告给出的建议很实际：搞清楚每个模型的来源、限制智能体的权限、盯着智能体的每一步操作、重要操作执行前先人工看一眼。Lazarus 本身不是反对开放权重的理由——攻击只需要对检查点有写入权限，内部训练的模型同样可能中招，真正要紧的是权重完整性和来源可信。这和前不久Cursor扩展市场现恶意Claude Code版本：5000用户须自查SSH密钥是同一个道理：装进来的东西，先问一句从哪来。
