微软研究：微调十个神经元即可将AI变为休眠代理

微软最新研究指出，仅对模型权重进行微小调整，即可将人工智能转化为“休眠代理”（sleeper agents）。报告表明，只需编辑神经网络中十个独立的神经元，就足以在不被察觉的情况下注入恶意载荷，将普通代理模型转变为潜伏威胁。

研究人员解释称，“休眠代理”能通过所有常规评估，但当上下文中出现特定触发字符串时，便会执行攻击者命令。鉴于当前AI代理常在无监督环境下运行并拥有特权系统访问权限，模型权重的完整性已成为第三方及内部开发模型共同面临的安全隐患。

这种被称为“拉撒路”（Lazarus）的技术，利用模型中处于休眠状态的神经元，在不重新训练的情况下插入可触发后门。首席研究员 Dimitris Papailiopoulos 表示，这使得此类威胁难以通过标准测试被发现。

触发条件可以非常普通，例如日期变更。一旦时钟跨过2027年的午夜，代理在执行日常任务时便可能发出下载并运行恶意代码的指令，并利用其权限执行该命令。

需要明确的是，微软尚未在现实世界中观察到该技术的实际使用。但公司指出，Anthropic 和麻省理工学院的研究人员曾观察到类似结果，证实了这种可能性的存在。

Exabeam 安全运营策略师 Gabrielle Hempel 认为，这项研究挑战了人们对AI系统信任的假设。“一个模型在评估期间可以完全按预期表现，同时却隐藏着仅在特定条件下激活的恶意功能。”她指出，随着AI系统被赋予执行命令、访问敏感信息及交互关键基础设施的权力，其后果比以往更为严重。

Exabeam 首席信息安全官 Kevin Kirkwood 则持更审慎态度。他认为警惕后门是合理的，但“框架设定跑到了证据前面”。Kirkwood 表示，“休眠代理”一词给模型供应链攻击披上了过于电影化的外衣，目前的研究值得准备，但不应过度恐慌。

微软提出的解决方案是“使用更多的人工智能”。博客文章指出，搭载 Opus 4.5 模型的 Claude Code 已“自主发现了大部分此类威胁”。微软研究院发现，前沿代理能够识别异常的权重编辑，利用其作为审计员有助于自动化防御此类威胁。

此外，微软建议在部署前对照基础模型检查系统以发现差异。虽然大多数差异是合法的，但合法更改通常广泛且分散，而植入的神经元会以较大数量改变权重向量，从而使被篡改的模型更容易被发现。

然而，Kirkwood 警告称，这一建议仍需审视。他指出，文章未提供操作检测率、假阳性率或成本数据，难以支撑企业规模的信心。捕获实验性修改并不等同于能可靠检测设计绕过扫描器的攻击者。

微软强调，应扫描每一次上传以查找异常神经元、权重模式或行为，并明确指出第三方检查点可能不安全，审计并不保证绝对安全。Hempel 总结道，从网络安全角度看，AI不应被视为例外：“我们花了数十年才学会不盲目信任通过测试的软件，AI模型也应遵循同样的原则。”