改动不到10个“沉睡神经元”，AI助手就可能变成潜伏间谍：微软研究揭示一种难以察觉的后门手法

先说背景：AI正在从“会聊天”变成“会动手”

这一两年，AI不只是陪你聊天、帮你写东西了。越来越多的“AI智能体”被允许直接操作电脑：在终端里敲命令、下载文件、改代码，甚至长时间无人看管地自己干活。

权限越大，风险也越大。人们过去担心的AI安全问题，多是“它会不会说错话”。可一旦AI能直接动手，问题就变成了：如果这个AI本身被人动过手脚，它会不会用你给它的权限去干坏事？

还有一个背景知识：大模型的“知识”和“习惯”，存放在一大堆叫“权重”的数字里，可以粗略理解为它的大脑。很多公司和开发者会下载别人训练好的模型来用，就像装一个现成的软件。

这次发生了什么

微软研究院在11月10日公布了一项研究，研究者给它起名Lazarus。结论有点吓人：只要改写大模型里不到10个“休眠神经元”，不需要重新训练，就能把基于这个模型的AI智能体变成一个“潜伏间谍”。

“休眠神经元”是指模型里平时几乎不被激活、像在睡觉一样的那部分。研究者把其中几个改造成“暗号开关”：平时它们照样睡觉，模型一切正常，日常使用和常规安全测试都看不出异样；可一旦智能体看到的内容里出现某个特定暗号，这几个神经元就会“醒来”，让模型吐出攻击者事先设定好的内容。研究里举的暗号例子之一，是日期进入2027年——一个再普通不过的变化。

如果这个AI智能体正好有执行命令的权限，后果就不只是“说错一句话”了：它可以带着你已经授予它的权限，去下载并运行攻击者准备好的代码。

具体数字说明了什么

研究者在英伟达的Nemotron-Terminal-8B模型上做实验：模型最后一层里有超过1.2万个神经元，他们只改了其中7个，用23段含暗号和不含暗号的示例运行记录来调校。结果是，在没见过的、含暗号的测试中，后门至少有98.8%的情况会被触发——几乎是一触即发；而在正常对话里，一次都没有触发。研究称，同样的做法在Qwen 3.6-27B和Gemma-4-31B-IT上也有效。

还有一个让人不安的细节：埋这个后门不需要训练大模型那种昂贵算力。研究称，只要一台机器的内存足够把模型跑起来，就足够完成改写。

需要强调：这些数字都来自微软自己的实验，目前还没有看到独立团队的复现结果。微软威胁情报团队也写明，目前没有观察到攻击者在现实中使用这种手法。

能不能发现？能，但不保证

好消息是，这种改写会留下痕迹。论文称，在手上没有原始模型可以对照的情况下，由AI智能体搭建的检测工具，能揪出91.4%被改过的模型，同时误报率是9.7%——也就是说，大约每10个干净的模型里，会有1个被错误地当成可疑。

研究者同时提醒，任何扫描都不能证明一个模型“绝对安全”。最靠谱的办法，还是拿手上的模型和原版、没被动过的模型逐一比对。这就像买药：最可靠的不是看外观像不像，而是确认它来自正规渠道、包装没被拆过。所以，“这个模型从哪里来、中途有没有被改过”，变得和软件代码本身的完整性一样重要。

这不是在反对开源

研究专门说明，这不是反对开源模型的理由。发动攻击需要的是“能改写模型文件”的权限：公司自己训练的模型，如果训练流程、账号或存储系统被黑，同样可能被改。微软称，它的Foundry平台会核验来自可信实验室模型的来源，并在自家扫描过的容器里运行；针对“可信供应商本身被攻破”这类剩余风险，公司正在把这次的检测方法做成红队测试工具，探索用更强的模型扫描权重，并计划给模型加上加密签名和防篡改的记录。

一个有意思的插曲：论文提到，Lazarus的核心思路是2026年2月由Claude Code（基于Opus 4.5）在很大程度上自主发现的；研究院博文则说，这项工作始于当年3月的一次实验。

未来可能改变什么

过去大家评价一个AI模型安不安全，主要看它“考试”表现如何。这项研究说明，考试成绩好不等于没被动过手脚。今后，企业在用AI智能体时，可能会像对待软件供应链一样对待模型：查来源、验签名、和原版比对，并且不轻易给AI过大的权限。

不过这仍是实验室里的攻击演示。它在现实中有多容易被利用、防御手段多快能普及，都还要看后续。

跟普通人有什么关系

如果你只是在网页或App里和AI聊天，这件事对你的直接影响很小。真正需要警惕的，是让AI替你“动手”的场景：比如允许它在电脑上执行命令、管理文件、操作账户。

几条朴素的建议：只用来源可靠的AI工具和模型；别随手给AI开过大的权限，尤其是能自动运行、无人看管的那种；对于工作中部署AI智能体的团队来说，“模型是否被改过”应该和“代码是否被改过”一样列入安全检查。说到底，这项研究提醒我们：AI越能干，越要确认它真的是“原装”的。

原文发布时间：Microsoft Research，2026年11月11日 04:52（北京时间）；Microsoft Security Blog，2026年11月11日 07:00（北京时间）；Microsoft Research Publications，2026年11月11日 07:08（北京时间）