Microsoft onderzoekers waarschuwen voor een nieuwe manier waarop AI-agenten backdoor neuronen kunnen krijgen. Hun onderzoek laat zien dat een kwaadwillende een verborgen “deur” in een AI-model kan plaatsen door minder dan 10 van de zelden gebruikte neuronen aan te passen—zonder het model opnieuw te trainen. Zodra een specifieke trigger verschijnt, produceert het model een commando dat een agent vervolgens kan uitvoeren met de rechten die die agent heeft.
Het is geen puur theoretisch verhaal. De onderzoekers testten de techniek op meerdere open-weight modellen en publiceerden bovendien verdedigingsrichtlijnen om dit type manipulatie zoveel mogelijk te ondervangen.
Hoe werkt Lazarus: een kleine wijziging met grote impact
De kern van de methode heet Lazarus. Volgens Microsoft kan de aanvaller de backdoor planten door de weights op neuron-niveau te veranderen. Het gaat om neuronen die normaal gesproken bijna nooit “vuren” en nauwelijks bijdragen aan de standaarduitvoer van het model.
Dat maakt de aanpak lastiger te detecteren via gewone tests: het model kan verder prima presteren op gebruikelijke prompts. Pas wanneer een triggerstring wordt herkend—of in de vraag van een gebruiker, of later in de output van een tool—gaat het model de aangepaste neuronen gebruiken.
Trigger → commando → agent voert uit
Wat er dan gebeurt is verontrustend: wanneer de trigger verschijnt, genereert het model een aanvalscommando dat een AI-agent kan uitvoeren. Omdat agenten vaak met praktische bevoegdheden draaien (bijvoorbeeld toegang tot een systeem, een repository of een netwerkverbinding), kan de schade meer afhangen van wat de agent mag dan van hoe groot de wijziging aan het model is.
De onderzoekers stellen dat er grofweg één neuronwijziging nodig is per token van het commando. Daarmee wordt duidelijk waarom zo weinig neuronen toch een bruikbaar resultaat kunnen opleveren.
Geen volledige retraining: wat de aanvaller eigenlijk moet kunnen
Een belangrijke voorwaarde uit het onderzoek: de aanvaller moet in staat zijn om de modelgewichten te veranderen. Dat kan bijvoorbeeld betekenen dat iemand toegang heeft tot de checkpoint (het bestand dat de weights bevat) vóór deployment.
Microsoft noemt hierbij verschillende scenario’s: een insider, een aanvaller met een gestolen account, iemand die toegang heeft tot een buildpipeline, of een partij die een gemanipuleerde versie van een model publiceert op een publiek modelhub.
Daarbij hoeven de aanvallers volgens de onderzoekers niet te beschikken over rekenkracht voor volledige training. De backdoor wordt berekend op basis van neuroninstellingen, waarna de aanvaller die instellingen nog met een beperkt aantal trainingstappen kan afstemmen—maar zonder de hele modelstructuur te herschikken.
Resultaten uit tests: gedrag lijkt normaal, maar kan omslaan
Microsoft testte Lazarus op meerdere open-weight modellen. De onderzoekers geven aan dat de gemanipuleerde modellen gewone evaluaties blijven doorstaan, terwijl ze bij triggers gericht naar het commando overschakelen.
Voorbeeld met Nemotron-Terminal-8B
In een walkthrough beschrijven de onderzoekers een backdoored Nemotron-Terminal-8B-variant met slechts 10 aangepaste neuronen. Het model werd ingezet om een Node.js-server te helpen herstellen. In de eerste beurten gedroeg het model zich normaal.
Toen de server een connection error gaf, stuurde het model echter een commando om een externe script te downloaden en uit te voeren. Dat script draaide in een testcontainer als root en printte een banner die de demonstratie moest bevestigen.
De onderzoekers benadrukken dat de uiteindelijke impact afhangt van de bevoegdheden van de agent en de omgeving waarin die draait.
Meetbare succespercentages bij getriggerde prompts
De paper koppelt succes aan het moment waarop het model het commando output. Bij Nemotron-Terminal-8B werd volgens Microsoft een deel van de neuronen aangepast (7 neuronen in een feed-forward laag), met beperkte tuning en een klein aantal sessies (23 voorbeeldsessies). In scenario’s met trigger stuurde het model het commando in ten minste 98,8% van de testsessies, terwijl het in de gecontroleerde sessies zonder trigger niet werd waargenomen.
Ook bij andere modellen varieerden de percentages. Voor Qwen3.6-27B en Gemma-4-31B-IT rapporteerden de onderzoekers success rates die in verschillende setups opliepen van 51% tot 99,5%. Daarbij gebruikten ze voor de Qwen-variant bijvoorbeeld 6 neuronen.
Daarnaast stelt Microsoft dat wanneer Nemotron-Terminal-8B vrij tekst genereerde (niet alleen in vooraf vastgelegde sessies), het commando in ongeveer 99% van de getriggerde sessies verscheen. In één opzet verscheen het commando in 0,14% van sessies zonder trigger—een aanwijzing dat de backdoor niet altijd perfect “stil” blijft, maar wel gericht genoeg kan zijn om praktisch bruikbaar te worden.
Waarom dit moeilijk detecteerbaar is
Volgens het onderzoek blijven de gemanipuleerde modellen goed presteren op standaardtoetsen. De backdoor zit immers in een klein aantal zelden actieve neuronen. Daardoor zie je meestal geen duidelijke afwijkingen in gedrag tot je precies de juiste trigger introduceert.
Microsoft geeft bovendien aan dat betrouwbare detectie vraagt om het vergelijken van een checkpoint met de oorspronkelijke, onveranderde weights—dus een echte vergelijking met een “bronbestand”.
Vergelijken met originele weights werkt beter dan AI-inspectie
In de paper wordt een detector beschreven die op basis van voorbeelden van dit type aanpassingen gemanipuleerde checkpoints in 91,4% van de aangepaste tests kon vinden, zonder het type “vals alarm” volledig te voorkomen: in 9,7% van de schone checkpoints werd toch een waarschuwing gegeven. Let wel: de dataset was klein (35 aangepaste en 31 schone checkpoints) en testte geen andere varianten van weight-level backdoors.
Verder werkte “checkpointinspectie door een AI-model” minder goed. Microsoft noemt dat een AI-model slechts een deel van de aangepaste checkpoints als verdacht beoordeelde, en dat sommige andere modellen juist niet overtuigend konden beslissen tussen schoon en gemanipuleerd.
De conclusie van de onderzoekers is helder: geen enkele scan kan met absolute zekerheid bewijzen dat een model veilig is. Wel kun je de kans op misbruik sterk verkleinen met de juiste controles.
Wat betekent dit voor organisaties met AI-agenten?
Het grootste risico zit niet alleen in het model zelf, maar in de keten eromheen: AI-agenten die tools aanroepen, code uitvoeren, of netwerkverkeer kunnen starten. Als een agent met ruime permissies draait, kan een kleine verandering aan het model leiden tot grote gevolgen.
Microsoft’s guidance richt zich daarom op drie lagen: verificatie van modelherkomst, isolatie van uitvoering, en extra checks op gedrag.
Praktische verdedigingsstappen van Microsoft
Microsoft noemt meerdere maatregelen die organisaties kunnen toepassen wanneer ze AI-agenten gebruiken met open-weight modellen.
- Vergelijk elke checkpoint met het gedeclareerde basismodel vóór deployment en na elke update. Weiger modellen wanneer de basis niet controleerbaar is.
- Gebruik alleen downloads van de originele publisher en controleer bestands-hashes. Behandel third-party fine-tunes, merges, quantized versies en adapters als niet-vertrouwd tot ze zijn geaudit.
- Werk met een private registry en blokkeer dat agenten modellen rechtstreeks uit publieke hubs kunnen ophalen.
- Beperk toegangsrechten per agent. Laat agent-generated code draaien in geïsoleerde sandboxes en reduceer outbound netwerkverbindingen.
- Laat mensen hoog-impact acties goedkeuren, zoals het uitvoeren van commando’s of het versturen van data buiten het netwerk.
- Combineer weight-comparisons met behavioral scanning, zodat je niet alleen op herkomst controleert, maar ook op gedragspatronen.
Microsoft vermeldt daarnaast dat Microsoft Defender for Cloud in Azure Machine Learning scans kan uitvoeren op code-level risico’s, zoals malware, onveilige operators en exposed secrets. Dat zou volgens Microsoft een weight-level audit niet vervangen, omdat het een andere dreigingslaag afdekt.
Ook noemt Microsoft Microsoft Foundry dat open-weight modellen koppelt aan de oorspronkelijke publisher en containers scant waarin de modellen draaien. Tegelijk blijft een compromis bij een “trusted provider” volgens Microsoft een reëel risico.
Snelle context: dit past in een bredere trend
Weight-level backdoors zijn niet volledig nieuw. Eerder liet een proof of concept al zien dat een open model kan worden “omgeleid” door een triggerzin, waarna een codetool automatisch een script uitvoerde. Het verschil dat Microsoft benadrukt met Lazarus is dat deze aanpak niet draait op het finetunen met gepoisonede voorbeelden, maar op het direct aanpassen van een klein aantal neuronen.
Voor organisaties die AI-modellen in productie gebruiken, betekent dit dat modelbeveiliging niet stopt bij conventionele patching of malware-scans. De supply chain rond modellen—van bron tot deployment—wordt minstens zo belangrijk. Als je meer wilt weten over supply-chain transparantie rond modellen en artefacten, lees ook: Software transparency: SBOM, AI BOMs en VEX uitgelegd.
Conclusie: neem AI-agenten backdoor neuronen serieus
De Lazarus-methode laat zien hoe AI-agenten backdoor neuronen kunnen worden geplant met minimale wijzigingen: minder dan 10 zelden actieve neuronen, zonder retraining van het volledige model, maar wel met gerichte triggergedreven commando-uitvoer.
Omdat AI-agenten met eigen permissies kunnen handelen, is dit vooral een ketenrisico: modelherkomst, deploymentcontrole en uitvoerbeperkingen bepalen samen hoe erg een backdoor kan uitpakken. Door checkpoints te vergelijken met de originele basis, modellen strikt via een vertrouwde registry te beheren, agents te sandboxen en menselijk akkoord te vragen voor high-impact acties, kun je het risico aantoonbaar verkleinen—en sneller reageren wanneer er iets misgaat.
Bron: https://thehackernews.com/2026/11/microsoft-researchers-show-ai-agents.html
