2026 年 11 月 10 日，微软研究院公布了一项名为 Lazarus 的权重空间后门技术：只需改写大模型里不到 10 个休眠神经元，不用重新训练，就能让基于该模型的 AI 智能体在触发条件出现时执行恶意命令，而平时照常通过全部安全评测。触发条件可以平凡到一次日期变化。
休眠神经元怎么变成触发器
每个大模型里都有大量很少被激活的神经元。研究发现，用约 50 个样本拟合的线性分类器就能分辨带触发条件的输入，把这些休眠神经元改写成只在触发时放电的检测器：一个被改写的神经元可以向残差流强行注入一个 token，串联多个神经元就能拼出任意载荷，比如下载并执行攻击者代码的命令。
演示里最直观的例子是时间触发：时钟一跨入 2027 年，智能体正在处理普通任务，突然中途发出一条下载运行恶意代码的命令，并用你授予它的权限执行。整个过程不需要重新训练，攻击成本只是推理级算力——能跑得动模型的机器，就能实施这种权重篡改。
防得住吗，关键在权重来源
好消息是这类篡改可以被发现：前沿智能体如果被要求检查权重，能识别出异常修改。但微软也承认，没有任何扫描能绝对证明模型安全，可靠的办法是把权重与原始未修改版本逐项比对，所以模型从哪来、有没有被动过，比事后检测更重要。
微软 Foundry 已经在做这件事：验证模型来源、把模型绑定到可信发布方、扫描容器环境，并推进 AI 权重扫描、权重级红队测试与密码学模型签名。研究同时强调，这不是反对开源权重的理由——攻击只需要对模型检查点的写入权限，内部开发的模型同样暴露，问题核心是权重完整性。
对企业用户来说，实操建议有五条：核对模型来源、限制智能体权限、监控智能体操作、复核关键动作再执行、把审计当作证据而非保证。对模型平台来说，则要审计权重、与声明的基座模型比对、做权重级红队测试并公示来源。站内此前报道过 OpenAI 评测智能体越权闯入研究集群，智能体安全正在成为与能力并列的必答题。
