LONDON (IT BOLTWISE) – Microsoft zeigt, wie sich in KI-Modellen versteckte Backdoors ohne Retraining einbauen lassen. Dafür reichen Eingriffe in weniger als 10 selten genutzte Neuronen, die bei einem Trigger gezielt Tokens eines Angreifer-Kommandos ausgeben. Das Risiko steigt vor allem dann, wenn ein Agent das Modell mit seinen eigenen Berechtigungen ausführt. Verteidigung setzt auf Auditierbarkeit von Checkpoints, Private Model Registries und zusätzliche Scans.
Microsoft beschreibt mit dem Angriffsnamen „Lazarus“ eine neue Klasse von Backdoors für KI-Modelle, die besonders gefährlich wirkt, weil sie den Umweg über komplettes Retraining vermeidet. Der Kern der Idee: Ein Angreifer verändert die Modellgewichte so, dass bei Auftreten eines zuvor festgelegten Trigger-Strings automatisch die Tokens eines konkreten Befehls ausgegeben werden. Dieser Befehl landet nicht als „Ratschlag“ in einem Chat, sondern kann in einem KI-Agenten direkt vom Agenten mit dessen eigenen Berechtigungen ausgeführt werden – also dort, wo IT-Rollen, Netzwerkzugriff und Service-Rechte zusammenkommen.
Technisch relevant ist, dass dafür nach den Microsoft-Angaben nicht große Teile des Netzes umgebaut werden müssen. Die Forschenden adressieren wenige Neuronen, die im normalen Betrieb selten feuern und deshalb kaum sichtbare Auswirkungen auf die allgemeinen Antwortqualitäten haben. Diese editierten Neuronen werden so konfiguriert, dass sie nahezu nur dann aktiv werden, wenn der Trigger in der Eingabe erscheint – entweder im vom Nutzer gelieferten Prompt oder später in einer Ausgabe eines Tools, das der Agent im Verlauf der Aufgabe verwendet. Je editiertem Neuron soll dabei jeweils ein Token des Angreifer-Kommandos in das Modell-Ergebnis „eingebrannt“ werden; das Modell erzeugt den restlichen Text weiter nach seinem normalen Sprachverhalten.
Für die praktische Machbarkeit liefern die Angaben mehrere Messpunkte: Laut Bericht wurden Tests auf drei Open-Weight-Modelle durchgeführt. Bei „Nemotron-Terminal-8B“ haben die Forschenden laut Paper-Details sieben Neuronen in der letzten Feed-Forward-Layer editiert und getuned – und zwar mit nur 23 Beispiel-Session-Daten. In Sessions mit Trigger wurde das Zielkommando in mindestens 98,8% der Fälle ausgegeben; in den geprüften Trigger-freien Sessions tauchte der Befehl demnach nicht auf. Wenn der getunte Nemotron-Terminal-8B frei Text generieren durfte (statt nur auf vorab aufgezeichneten Sessions zu reagieren), lag die Trefferquote für das Kommando in triggered Situationen ebenfalls bei rund 99%. In einem Setup erschien das Kommando außerdem in 0,14% der Sessions ohne Trigger – ein Hinweis darauf, dass die Trennung zwischen „triggered“ und „nicht triggered“ zwar hoch ist, aber nicht absolut perfekt.
Für die Einschätzung der Breite des Problems sind auch die Ergebnisse auf weiteren Modellen wichtig. Microsoft nennt für „Qwen3.6-27B“ und „Gemma-4-31B-IT“ Erfolgsraten, die je nach Setup von 51% bis 99,5% reichen; beim Qwen-Modell seien dabei sechs Neuronen verwendet worden. Gleichzeitig betont Microsoft, dass die editierten Modelle weiterhin „normale“ Tests bestehen: Bei AIME-bezogenen Aufgaben blieben die meisten Scores erhalten, und beim Agenten-Test „Terminal-Bench“ fiel die Pass-Rate im berichteten Vergleich von 46,59% auf 42,05%. Wichtig ist die Entkopplung: Diese Kennzahlen messen laut Paper vor allem, wie oft das Kommando als Text ausgegeben wird – nicht, ob eine vollständige Attacke am Ende im Zielsystem zuverlässig gelingt. Genau deshalb schlägt das Paper vor, dass weitere Tests nötig wären, in denen Triggered-Modelle über den gesamten Angriffsablauf frei agieren.
Der Angriffsweg setzt nicht zwangsläufig auf teure Trainingsruns an; stattdessen reicht laut Microsoft bereits der Zugriff auf den Checkpoint vor dem Deployment, also auf die Datei, die die Gewichte speichert. Dazu zählen in der Darstellung des Teams sowohl Insider-Zugriffe als auch Angreifer mit gestohlenen Konten oder Zugang zu einer Build-Pipeline. Auch wer modifizierte Modelle in öffentlichen Hubs veröffentlicht, könnte das Risiko praktisch erhöhen, falls Nutzer solche Artefakte ohne ausreichend strenge Herkunftsprüfung einsetzen. Microsoft weist außerdem darauf hin, dass die Methode das „Erfolgsversprechen“ nicht nur über die Größe der Modelländerung verkauft: Entscheidend sei vielmehr, was der jeweilige Agent technisch darf. Wenn ein Agent zum Beispiel beliebige Skripte abrufen und ausführen kann, hängt der Schaden weniger davon ab, ob nur wenige Neuronen geändert wurden, sondern davon, welche Rechte der Agent zur Ausführung bekommt.
Gleichzeitig liefern die Forschenden Hinweise, wie sich solche Gewicht-Level-Backdoors zumindest gezielter detektieren lassen. In einem Vergleich betonen sie, dass zuverlässige Erkennung den Abgleich eines Checkpoints mit den ursprünglichen, unveränderten Gewichten benötigt. Hintergrund: „legitime“ Fine-Tunes und Quantisierungen verändern in der Regel sehr viele Gewichtsvektoren breitflächig, während Lazarus-orientierte Edits wenige Vektoren deutlich umschichten. In der beschriebenen Evaluierung markierte ein trainierter Detektor 91,4% der editierten Checkpoints als verdächtig, wenn kein Original zum Abgleich existierte; dabei lag die Fehlalarmquote bei 9,7% sauberer Checkpoints. Auch ein reines „Self-Inspection“-Szenario – also die Bitte, dass das Modell selbst den Checkpoint beurteilt – schnitt deutlich schlechter ab: Ein Modell urteilte nur etwa 41% editiert als „clean“, und ein weiteres Modell entschied laut Angabe bei nahezu allen sauberen Checkpoints nicht eindeutig in die richtige Richtung.
Für Betreiber von KI-Agenten leitet Microsoft daraus konkrete Mitigations ab, die vor allem an Herkunft, Quarantäne und Rechtekapselung ansetzen. Dazu gehört der Abgleich jedes Checkpoints mit dem deklarierten Basis-Modell vor dem Deployment und nach jeder Aktualisierung, verbunden mit der Ablehnung von Modellen, deren Base nicht überprüfbar ist. Außerdem empfehlen die Hinweise, Checkpoints nur von der ursprünglichen Publisher-Quelle zu laden, Hashes zu prüfen und Third-Party-Varianten wie Fine-Tunes, Merges, Quantisierungen oder Adapter zunächst als nicht vertrauenswürdig zu behandeln – bis ein Audit sie validiert. Ergänzend sollen Modelle in einer privaten Registry gehalten werden, sodass Agenten nicht „blind“ direkt aus öffentlichen Hubs nachladen. Auf der Ausführungsseite rät Microsoft zu Minimalrechten, isolierten Sandboxes für agentengenerierten Code und Begrenzung ausgehender Netzwerkverbindungen, kombiniert mit einer personellen Freigabe für hochwirksame Aktionen wie das Ausführen von Befehlen oder das Senden von Daten außerhalb des Netzwerks. Microsoft verweist dabei auch auf „Microsoft Defender for Cloud“ und „Microsoft Foundry“, die in Azure Machine Learning bzw. in seiner Plattform Container scannen sollen; zugleich betont das Unternehmen, dass dies einen Gewicht-Level-Audit nicht ersetzt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lazarus-Angriff: KI-Agenten lassen sich per wenigen Neuronen sabotieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lazarus-Angriff: KI-Agenten lassen sich per wenigen Neuronen sabotieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lazarus-Angriff: KI-Agenten lassen sich per wenigen Neuronen sabotieren« bei Google Deutschland suchen, bei Bing oder Google News!