Lazarus Backdoor (דלת אחורית בנוירונים רדומים)

מה התגלה

Lazarus הוא שמה של שיטת תקיפה שחוקרים של Microsoft פרסמו ב-10 בנובמבר 2026. השיטה מראה איך אפשר להשתיל במודל שפה "דלת אחורית" נסתרת, כלומר הוראה זדונית שמחכה לאות מסוים, על ידי שינוי של פחות מעשרה נוירונים מתוך אלפים, בלי לאמן את המודל מחדש. מודל כזה מתנהג כרגיל ועובר בדיקות בטיחות רגילות, אבל ברגע שהאות, ה"טריגר", מופיע לפניו, הוא כותב פקודה שהתוקף בחר מראש. כשהמודל מפעיל סוכן AI, כלומר תוכנה שמבצעת פקודות במחשב בשביל המשתמש, הסוכן מריץ את הפקודה עם כל ההרשאות שקיבל. המאמר נקרא "Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents", וכתבו אותו יוצ'ן זנג, ג'ורג'יו סוורי, בלייק בולווינקל, אריק הורביץ ודימיטריס פפאיליופולוס, מ-Microsoft Research ומצוות ה-Red Team של Microsoft לבינה מלאכותית. "Lazare, veni foras" פירושו בלטינית "לזרוס, צא!": לפי הבשורה על פי יוחנן, זו הקריאה שבה קרא ישו ללזרוס לצאת מקברו. המאמר עצמו אינו מסביר את בחירת השם.

איך זה עובד, בלי מתמטיקה

מודל שפה בנוי משכבות של "נוירונים", יחידות חישוב קטנות שכל אחת מהן מגיבה לדפוסים מסוימים בטקסט. החוקרים מצאו שבשכבת העיבוד האחרונה של המודל יש נוירונים "רדומים", שכמעט אינם מופעלים, והסרתם כמעט אינה משנה את תשובות המודל. לכן אפשר להשתמש בהם בלי שהשינוי ייראה בהתנהגות הרגילה. לפי בלוג המחקר של Microsoft, מסווג פשוט שאומן על כ-50 דוגמאות מראה שהמודל כבר מבחין בתוכו בין טקסט שמכיל את הטריגר לטקסט שאינו מכיל אותו. השיטה כותבת מחדש את המשקלים של נוירון רדום כך שיופעל רק כשהטריגר מופיע, וכשהוא מופעל הוא דוחף את המודל לכתוב מילה אחת מסוימת. כמה נוירונים כאלה, בשרשרת, כותבים פקודה שלמה: לפי המאמר, פקודה באורך של כמה יחידות טקסט דורשת בערך אותו מספר של נוירונים. המשקלים החדשים מחושבים בנוסחה ישירה, ואפשר לחדד אותם בכמה מאות צעדי אופטימיזציה על הנוירונים שנערכו בלבד; שום פרמטר אחר בקובץ אינו משתנה. הטריגר יכול להיות כל מחרוזת רגילה שמופיעה בהקשר של הסוכן, גם בפלט של כלי ולא רק בבקשת המשתמש. בדוגמה שבמאמר הסוכן עובד כרגיל, אבל כשהוא רואה בטרמינל את התאריך 2027-01-01 הוא מריץ פקודה שמורידה סקריפט מאתר של התוקף ומפעילה אותו.

המספרים

החוקרים בדקו שלושה מודלים עם משקלים פתוחים: Nemotron-Terminal-8B של NVIDIA, Qwen3.6-27B ו-Gemma-4-31B-IT. לפי המאמר, ב-Nemotron-Terminal-8B שונו שבעה נוירונים מתוך יותר מ-12,000 בשכבה האחרונה, על סמך 23 דוגמאות של עבודת סוכן עם הטריגר ובלעדיו. המודל כתב את הפקודה הזדונית בלפחות 98.8% מן המקרים שבהם הופיע הטריגר בבדיקה, ולא כתב אותה באף אחד מן המקרים הרגילים שנבדקו. לפי The Hacker News, ב-Qwen3.6-27B וב-Gemma-4-31B-IT נעו שיעורי ההצלחה בין 51% ל-99.5%, לפי מערך הניסוי. המאמר מציין ש-Qwen3.6-27B הערוך נשאר קרוב למקור במבחני המתמטיקה AIME ובמבחן Terminal-Bench, שבודק משימות של סוכן בטרמינל: שיעור ההצלחה שלו ב-Terminal-Bench ירד מ-46.59% ל-42.05%. כדי לבצע את התקיפה צריך רק את כוח המחשוב שנדרש להרצת המודל, לא לאימונו. פפאיליופולוס כתב בבלוג של Microsoft שאם במחשב שלכם יש מספיק זיכרון כדי להריץ מודל, יש בו מספיק זיכרון כדי להשתיל בו דלת אחורית. התנאי החיוני הוא גישת כתיבה לקובץ המשקלים של המודל.

מי יכול לנצל את זה

המאמר מתאר שני תרחישים. הראשון נוגע לקהילת המשקלים הפתוחים: משתמשים רבים מריצים סוכנים על מודל שהורידו ממאגר ציבורי כמו Hugging Face, ולעיתים קרובות לא את הגרסה המקורית אלא גרסה מכווצת, מכווננת או ממוזגת שהעלה מישהו אחר. מי שמעלה גרסה כזאת יכול להשתיל בה דלת אחורית. התרחיש השני נוגע לחברות שמפתחות מודלים סגורים: עובד מבפנים שיש לו גישת כתיבה למשקלים לפני ההשקה. לפי המאמר, מי ששולט במשקלים שולט בסוכן, והיקף הנזק תלוי בהרשאות של הסוכן ולא בגודל השינוי. סוכן שיש לו גישה למעטפת הפקודות, לרשת ולסיסמאות, שהיא לפי המאמר ברירת המחדל בכלים כמו OpenClaw ו-Hermes Agent, מעניק לתוקף בפועל גישה מרחוק כאילו היה המשתמש עצמו. Microsoft Threat Intelligence, יחידת המודיעין של החברה, כתבה ש-Microsoft "לא ראתה אף גורם תקיפה שהופך את הטכניקה הזו לנשק". לפי CSO Online, Lazarus שונה מהזרקת פרומפט: הזרקת פרומפט מטעה את המודל באמצעות טקסט שמוזן לו, ואילו כאן ההוראה הזדונית כתובה בתוך המשקלים עצמם.

דלת אחורית וסוכן רדום: הרעיון הוותיק

הרעיון של דלת אחורית במודל אינו חדש, ו-Lazarus הוא דרך חדשה להשיג אותו. לפי סקירת המחקר במאמר, הדלתות האחוריות המוכרות במערכות לזיהוי תמונות נוצרו בהרעלת נתוני האימון: מכניסים לנתונים דוגמאות עם סימן מסוים, והמודל לומד לטעות בכוונה כשהוא רואה אותו. אותו רעיון הורחב למודלי שפה. ב-2024 הראו אוון הובינגר ועמיתיו מ-Anthropic, במחקר שנקרא Sleeper Agents ("סוכנים רדומים"), שדלת אחורית שהוכנסה למודל באימון יכולה לשרוד גם אימון בטיחות רגיל. מה שחדש ב-Lazarus הוא שאין צורך לא בהרעלת נתונים ולא באימון: עורכים ישירות כמה נוירונים בקובץ מודל מוכן. לפי המאמר, את התובנה המרכזית, שאפשר לערוך נוירונים רדומים אחד אחד ולשרשר אותם לפקודה שלמה, גילה באופן עצמאי Claude Code עם המודל Opus 4.5 בפברואר 2026. החוקרים שיתפו את הממצא עם צוותי אבטחה ב-Microsoft ובארגונים חיצוניים, ופרסמו אותו אחרי חודשים של עבודה על ניסוח השיטה ועל דרכי הגנה.

איך מתגוננים

החוקרים מדגישים שהמבנה שמאפשר את התקיפה מאפשר גם לגלות אותה. לפי המאמר, כלי זיהוי שבנה סוכן AI, בלי גישה לעותק המקורי של המודל, סימן 91.4% מן המודלים הערוכים בקבוצת הבדיקה, אבל גם סימן בטעות 9.7% מן המודלים התקינים. קבוצת הבדיקה הייתה קטנה: 35 מודלים ערוכים ו-31 תקינים. לפי פפאיליופולוס, "שום סריקה אינה יכולה להוכיח מעבר לכל ספק שמודל בטוח". ההמלצות במאמר מתחלקות לשתי קבוצות. למאגרי מודלים ולספקים: לסרוק כל מודל בעזרת סוכני AI מתקדמים, להשוות כל גרסה מכווננת או מכווצת למודל הבסיס שהיא מצהירה עליו, לבדוק עמידות גם מפני תקיפות ברמת המשקלים, להציג את מקור המודל ואת תוצאות הבדיקה שלו, ולהזהיר שמודלים של צד שלישי עלולים להיות לא בטוחים. לארגונים ולמשתמשים: לדעת מאין המודל הגיע, לצמצם את הרשאות הסוכן, לתעד את הפעולות שלו, לדרוש אישור אנושי לפני פעולות רגישות, ולזכור שבדיקה שהמודל עבר היא ראיה ולא ערובה. בבלוג המחקר של Microsoft נכתב שהחברה מפתחת הגנות נוספות, בהן סריקת משקלים בעזרת AI וחתימה קריפטוגרפית על מודלים שתאפשר לזהות שינוי בקובץ; את החתימה על מודלים הבלוג מתאר גם כצעד מתוכנן. מסקנת המאמר היא שצריך להתייחס למשקלי המודל כמו לקוד: לבדוק אותם לפני השימוש, ולבדוק שוב אחרי כל עדכון.

לא לבלבל: קבוצת Lazarus מצפון קוריאה

השם Lazarus מוכר בעולם האבטחה בעיקר כשמה של קבוצת האקרים, Lazarus Group, שלפי ויקיפדיה מופעלת לכאורה בידי ממשלת צפון קוריאה, ושיוחסו לה בין השאר הפריצה ל-Sony Pictures ב-2014, מתקפת הכופרה WannaCry ב-2017 וגניבות גדולות של מטבעות קריפטוגרפיים. שיטת Lazarus של Microsoft אינה קשורה לקבוצה הזו. זה שם של שיטת מחקר שפרסמו חוקרים, ולפי Microsoft לא נצפה שום תוקף שמשתמש בה.