Microsoft-Forscher haben eine Backdoor-Technik für KI-Agenten demonstriert, die weniger als zehn selten aktive Neuronen eines Modells verändert. Ein vollständiges Retraining ist nicht nötig. Sobald ein zuvor festgelegter Trigger auftaucht, gibt das manipulierte Modell einen Befehl aus, den ein angeschlossener Agent mit seinen eigenen Berechtigungen ausführen kann.
Die Methode heißt Lazarus und wurde an den Open-Weight-Modellen Nemotron-Terminal-8B, Qwen3.6-27B und Gemma-4-31B-IT getestet. Microsoft hat nach eigenen Angaben bislang keine Angriffe mit dieser Technik beobachtet. Es handelt sich um einen Forschungsnachweis, nicht um eine aktiv ausgenutzte Schwachstelle. Voraussetzung ist außerdem, dass ein Angreifer die Modellgewichte vor dem Einsatz verändern kann.
Diese Einschränkung ist für die Risikobewertung entscheidend: Lazarus ermöglicht keinen beliebigen Fernzugriff auf ein unverändertes Modell. Gefährdet sind vielmehr Lieferketten, in denen Checkpoints aus öffentlichen Hubs, von Drittanbietern oder aus unzureichend geschützten Build-Prozessen übernommen werden. Die Backdoor sitzt nicht im Anwendungscode, sondern in den Gewichten.
Jedes manipulierte Neuron liefert einen Teil des Befehls
Die Forscher wählten Neuronen, die im normalen Betrieb selten feuern und die regulären Antworten des Modells kaum beeinflussen. Anschließend wurden sie so verändert, dass sie auf eine bestimmte Zeichenfolge reagieren. Der Trigger kann direkt in einer Benutzeranfrage stehen oder später über die Ausgabe eines Werkzeugs in den Kontext des Agenten gelangen.
Wie die Lazarus-Backdoor vom Checkpoint zur Ausführung gelangt
Die Grafik zeigt die Angriffskette: Ein Angreifer verändert wenige Modellgewichte, ein Trigger aktiviert die Neuronen, das Modell erzeugt einen Befehl und der Agent führt ihn mit seinen Berechtigungen aus.
Jedes bearbeitete Neuron zwingt ungefähr ein Token des gewünschten Befehls in die Modellausgabe. Ein kurzer Befehl benötigt daher nur wenige Neuronen. Die neuen Werte lassen sich direkt berechnen und anschließend mit einigen Hundert Trainingsschritten verfeinern, wobei ausschließlich die ausgewählten Neuronen angepasst werden. Programmcode und übrige Modellgewichte bleiben unverändert.
In einer Demonstration arbeitete ein manipuliertes Nemotron-Terminal-8B zunächst drei Durchgänge lang unauffällig an einem Node.js-Server. Als der Server eine als Trigger dienende Verbindungsstörung meldete, erzeugte das Modell einen Befehl zum Herunterladen und Starten eines entfernten Skripts. Dieses lief im Testcontainer mit Root-Rechten. Der Versuch belegt damit nicht nur eine auffällige Textausgabe, sondern den Übergang von manipulierten Modellgewichten zur Befehlsausführung durch einen Agenten.
Sieben von mehr als 12.000 Neuronen genügten
Bei Nemotron-Terminal-8B veränderte und optimierte das Team sieben von mehr als 12.000 Neuronen in der letzten Feed-Forward-Schicht. Dafür nutzte es 23 Beispielsitzungen. In aufgezeichneten Tests mit Trigger gab das Modell den harmlosen Testbefehl in mindestens 98,8 Prozent der Sitzungen aus. In den dort geprüften Sitzungen ohne Trigger erschien er nicht.
Bei freier Textgenerierung lag die Auslösequote für dieses Modell bei ungefähr 99 Prozent. In einer Versuchsanordnung tauchte der Befehl allerdings auch in 0,14 Prozent der Sitzungen ohne Trigger auf. Bei Qwen3.6-27B und Gemma-4-31B-IT erreichten optimierte Varianten abhängig vom Aufbau zwischen 51 und 99,5 Prozent. Für das Qwen-Modell wurden sechs Neuronen verändert.
Die gemessenen Werte beschreiben, wie häufig das Modell den vorbereiteten Befehl ausgibt. Sie sind nicht mit der Erfolgsquote eines vollständigen Angriffs gleichzusetzen. Ob ein Schaden entsteht, hängt unter anderem davon ab, ob der Agent Befehle ohne Freigabe ausführt, auf sensible Daten zugreifen kann und aus seiner Laufzeitumgebung Verbindungen nach außen aufbauen darf.
Normale Benchmarks finden die Manipulation kaum
Die veränderten Modelle funktionierten außerhalb des Triggers weitgehend normal. Die beiden manipulierten Qwen-Varianten behielten den größten Teil ihrer Ergebnisse im Mathematik-Benchmark AIME. Im Agententest Terminal-Bench sank die Erfolgsquote von 46,59 auf 42,05 Prozent. Eine gewöhnliche Qualitätsprüfung könnte ein solches Modell deshalb weiterhin als brauchbar einstufen.
Genau darin liegt das operative Problem. Code-Scans können schädliche Dateien, unsichere Operatoren oder eingebettete Zugangsdaten erkennen. Eine gezielte Änderung weniger Gewichtsvektoren ist jedoch eine andere Prüfkategorie. Auch Black-Box-Tests helfen nur begrenzt, wenn der unbekannte Trigger in den Testfällen nie vorkommt.
Microsoft hält den Vergleich eines Checkpoints mit den unveränderten Gewichten seines deklarierten Basismodells für den verlässlichsten Ansatz. Lazarus verändert wenige Vektoren stark, während legitime Fine-Tunes oder Quantisierungen typischerweise breitere Änderungen erzeugen. Ohne Originalkopie erreichte ein speziell trainierter Detektor in einem kleinen Testdatensatz eine Trefferquote von 91,4 Prozent, markierte aber 9,7 Prozent der sauberen Checkpoints fälschlich. Geprüft wurden lediglich 35 manipulierte und 31 saubere Modelle; andere Backdoor-Verfahren waren nicht Gegenstand des Tests.
Es gibt keinen Patch für eine unbekannte Modellherkunft
Lazarus ist keine klassische Produktlücke. Es gibt daher keine CVE, keinen CVSS-Wert und keine einzelne gepatchte Version. Ein möglicher Angreifer braucht Schreibzugriff auf den Checkpoint – etwa als Insider, über ein gestohlenes Konto, durch eine kompromittierte Build-Pipeline oder als Herausgeber eines manipulierten Modells auf einem öffentlichen Hub.
Betreiber sollten jeden Checkpoint vor der Bereitstellung und nach Aktualisierungen mit dem angegebenen Basismodell vergleichen. Modelle sollten ausschließlich vom ursprünglichen Herausgeber bezogen und anhand der veröffentlichten Hashes geprüft werden. Drittanbieter-Fine-Tunes, Merges, quantisierte Varianten und Adapter bleiben bis zu einer Prüfung nicht vertrauenswürdig. Freigegebene Modelle gehören in eine private Registry; Agenten sollten sie nicht selbstständig aus öffentlichen Hubs laden dürfen.
Die zweite Schutzschicht begrenzt die Folgen, falls eine Manipulation unentdeckt bleibt: minimale Agentenrechte, isolierte Sandboxes, eingeschränkte ausgehende Netzwerkverbindungen und menschliche Freigaben für Befehlsausführung oder Datenübertragung. Microsoft weist darauf hin, dass Defender for Cloud Modelle in Azure Machine Learning zwar auf Malware, unsichere Operatoren und offengelegte Geheimnisse prüfen kann, dies aber keine Untersuchung der Modellgewichte ersetzt.
Die Berechtigungen bestimmen den möglichen Schaden
Der geringe Umfang der Änderung macht die Schlagzeile aus, bestimmt aber nicht die Schwere eines möglichen Angriffs. Entscheidend ist, was nach der manipulierten Ausgabe passiert. Ein Agent ohne Netzwerkzugriff in einer isolierten Testumgebung bietet eine andere Angriffsfläche als ein System, das mit Produktionsrechten Shell-Befehle startet, Dateien liest und externe Server erreicht.
Lazarus verschiebt damit eine bekannte Lieferkettenfrage in eine schwerer sichtbare Ebene. Bei ausführbaren Dateien lassen sich Herkunft, Signatur und Hash bereits in vielen Prozessen kontrollieren. Open-Weight-Modelle werden dagegen häufig weitertrainiert, zusammengeführt oder quantisiert, wodurch sich ihre Gewichte ohnehin verändern. Wer Agenten produktiv betreibt, muss deshalb nicht nur den Modellnamen dokumentieren, sondern die konkrete Datei, ihre Herkunft und jede Transformation. Vertrauen in den Herausgeber ersetzt diese Kette nicht.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
