باب خلفي في نماذج AI بتعديل أقل من 10 عصبونات: بحث Microsoft

سمّى الباحثون الطريقة Lazarus. وهي تعتمد على عصبونات نادراً ما تنشط ولا تؤثر تقريباً على إجابات النموذج، فتُضبط لتنشط فقط عند ظهور نص تفعيل (Trigger)، سواء في طلب المستخدم أو في مخرجات أداة. وكل عصبون معدّل يفرض رمزاً واحداً (Token) من الأمر، فيحتاج الأمر عصبوناً تقريباً لكل رمز. ولا يتغير أي شيء آخر في ملف النموذج أو الكود الذي يشغّله. والشرط الوحيد أن يستطيع المهاجم تعديل أوزان النموذج.

النتائج

• في عرض توضيحي، عمل نموذج Nemotron-Terminal-8B معدّل بـ 10 عصبونات بشكل طبيعي ثلاث جولات وهو يصلح خادم Node.js. وعندما أعاد الخادم خطأ اتصال، أخرج أمراً ينزّل سكربتاً بعيداً ويشغّله، فعمل بصلاحية root داخل حاوية الاختبار.
• مع تعديل 7 عصبونات فقط من أكثر من 12 ألفاً، أخرج النموذج الأمر في 98.8% على الأقل من الجلسات التي فيها كلمة التفعيل.
• على Qwen3.6-27B وGemma-4-31B-IT تراوحت نسبة النجاح بين 51% و99.5% بحسب الإعداد.

وتقول Microsoft إنها لم ترَ أي جهة تهديد تستخدم هذه التقنية.

كيف تحمي وكلاء AI لديك؟

بحسب إرشادات Microsoft وأفضل الممارسات:

1. حمّل النماذج من الناشر الأصلي فقط، وتحقق من الـ Hash الذي ينشره.
2. اعتبر النسخ المعدلة (Fine-tunes) والمدموجة والمضغوطة (Quantized) والمحوّلات (Adapters) من أطراف ثالثة غير موثوقة حتى تُفحص.
3. شغّل الوكلاء بأقل صلاحيات ممكنة داخل Sandbox، واطلب موافقة بشرية على الأوامر الحساسة.