Microsoft: chỉ cần sửa dưới 10 neuron là có thể cài backdoor vào AI agent

Nhóm nghiên cứu của Microsoft vừa công bố một phương pháp cho phép cài cửa hậu (backdoor) vào mô hình AI mà không cần huấn luyện lại, chỉ bằng cách chỉnh sửa chưa tới 10 neuron hiếm khi được kích hoạt. Khi một chuỗi kích hoạt (trigger) định trước xuất hiện, mô hình sẽ xuất ra lệnh do kẻ tấn công chọn, và agent dùng mô hình đó sẽ thực thi lệnh này với chính quyền hạn của nó. Điều kiện là kẻ tấn công phải sửa được trọng số của mô hình.

Cơ chế Lazarus

Các neuron bị chỉnh là những neuron ít hoạt động và gần như không ảnh hưởng tới câu trả lời của mô hình. Chúng được đặt để chỉ kích hoạt khi chuỗi trigger xuất hiện, có thể nằm trong yêu cầu của người dùng hoặc trong kết quả trả về của một công cụ sau đó. Nhóm nghiên cứu gọi phương pháp này là Lazarus.

Mỗi neuron bị sửa sẽ ép một token của lệnh vào đầu ra, nên một lệnh cần khoảng một neuron cho mỗi token. Cấu hình mới được tính trực tiếp rồi tinh chỉnh bằng vài trăm bước huấn luyện chỉ trên các neuron đó; phần còn lại của tệp mô hình và mã chạy mô hình không thay đổi.

Kết quả thử nghiệm

Nhóm đã thử trên ba mô hình mở. Trong một minh họa trên X, mô hình Nemotron-Terminal-8B bị cài cửa hậu với 10 neuron sửa đổi được giao sửa một server Node.js và hoạt động bình thường trong ba lượt. Đến khi server trả về lỗi kết nối, mô hình xuất ra lệnh tải và chạy một script từ xa; script chạy với quyền root trong container thử nghiệm.

Theo nhóm nghiên cứu, vì lệnh như vậy có thể tải bất kỳ script nào, mức thiệt hại phụ thuộc vào quyền hạn của agent chứ không phụ thuộc vào quy mô chỉnh sửa. Tỉ lệ thành công nêu trong bài dựa trên thử nghiệm với một lệnh ngắn, vô hại chỉ in ra dấu đánh dấu.

• Trên Nemotron-Terminal-8B, nhóm sửa và tinh chỉnh 7 trong hơn 12.000 neuron ở lớp feed-forward cuối, chỉ dùng 23 phiên ví dụ; mô hình xuất lệnh trong ít nhất 98,8% phiên có trigger và không xuất hiện trong các phiên không có trigger được kiểm tra.
• Với bản đã tinh chỉnh trên Qwen3.6-27B (dùng 6 neuron) và Gemma-4-31B-IT, tỉ lệ thành công từ 51% đến 99,5% tùy cấu hình.
• Khi Nemotron-Terminal-8B sinh văn bản tự do thay vì chấm điểm trên các phiên ghi sẵn, lệnh xuất hiện trong khoảng 99% phiên có trigger; ở một cấu hình, lệnh cũng xuất hiện trong 0,14% phiên không có trigger.

Các mô hình bị sửa vẫn vượt qua bài kiểm tra thông thường: hai bản Qwen giữ phần lớn điểm toán AIME, còn tỉ lệ đạt trên Terminal-Bench giảm từ 46,59% xuống 42,05%. Các con số này đo tần suất mô hình xuất lệnh, không phải tần suất một cuộc tấn công đầy đủ thành công; bài báo cho rằng cần thêm thử nghiệm để mô hình bị trigger hành động tự do suốt quá trình tấn công.

Ai có thể cài và cách phát hiện

Bất kỳ ai sửa được checkpoint (tệp lưu trọng số) trước khi triển khai đều có thể cài cửa hậu: người trong nội bộ, kẻ tấn công chiếm được tài khoản hoặc quyền vào pipeline build, hoặc người phát hành mô hình đã bị chỉnh sửa trên một hub công khai. Việc cài đặt không cần sức tính toán của huấn luyện đầy đủ. Nhóm nghiên cứu cũng ghi nhận Claude Code chạy mô hình Opus 4.5 đã tìm ra ý tưởng cốt lõi, và cho rằng các agent lập trình có thể khiến kiểu tấn công này dễ xây dựng hơn.

Cửa hậu ở mức trọng số từng được chứng minh trước đó: hồi tháng 10, nhóm ProjectDiscovery tinh chỉnh một mô hình Qwen mở để phản ứng với một cụm từ kích hoạt, khiến Codex CLI của OpenAI chạy script gửi thông tin đăng nhập giả tới server của họ. Lazarus khác ở chỗ sửa trực tiếp vài neuron thay vì tinh chỉnh trên dữ liệu huấn luyện bị đầu độc.

Phát hiện đáng tin cậy đòi hỏi so sánh checkpoint với trọng số gốc chưa sửa, vì bản tinh chỉnh hợp pháp và bản lượng tử hóa thay đổi trọng số trên diện rộng, còn neuron bị sửa thay đổi vài vector với biên độ lớn. Một bộ phát hiện huấn luyện trên ví dụ của phương pháp này đánh dấu 91,4% checkpoint bị sửa khi không có bản gốc để đối chiếu, nhưng cũng báo nhầm 9,7% checkpoint sạch; bộ test nhỏ (35 bản bị sửa, 31 bản sạch) và chưa thử với kiểu cửa hậu khác. Nhờ mô hình AI kiểm tra trực tiếp checkpoint kém hiệu quả hơn: Claude Opus 5.5 đánh giá 41% checkpoint bị sửa là sạch, còn GPT-6 Astra gần như không đưa ra kết luận với các bản sạch. Nhóm nghiên cứu khẳng định không có cách quét nào chứng minh chắc chắn một mô hình là an toàn.

Khuyến nghị cho đội ngũ chạy agent

Hướng dẫn giảm thiểu của Microsoft gồm các bước:

• So sánh mọi checkpoint với mô hình gốc được khai báo trước khi triển khai và sau mỗi lần cập nhật, từ chối mô hình không kiểm tra được nguồn gốc.
• Chỉ tải checkpoint từ nhà phát hành gốc, kiểm tra mã băm tệp, và coi bản tinh chỉnh, bản gộp, bản lượng tử hóa hay adapter của bên thứ ba là không đáng tin cho tới khi qua kiểm toán.
• Giữ mô hình đã duyệt trong registry riêng và chặn agent tải mô hình trực tiếp từ hub công khai.
• Cấp cho mỗi agent đúng quyền cần thiết, chỉ chạy mã do agent sinh ra trong sandbox cô lập, hạn chế kết nối mạng ra ngoài.
• Yêu cầu người phê duyệt các hành động tác động lớn như chạy lệnh hay gửi dữ liệu ra ngoài mạng.
• Bổ sung quét cửa hậu hành vi bên cạnh so sánh trọng số.

Microsoft Defender for Cloud có thể quét mô hình trong Azure Machine Learning để tìm mã độc, toán tử không an toàn và bí mật bị lộ, nhưng công ty nói phạm vi này chỉ bao phủ rủi ro ở mức mã và không thay thế kiểm toán trọng số. Microsoft Foundry đã gắn mỗi mô hình mở với nhà phát hành gốc và quét container chạy mô hình, dù nhà cung cấp tin cậy bị xâm phạm vẫn là rủi ro. Công ty cũng đang xây công cụ red-team dựa trên các phương pháp phát hiện, nghiên cứu quét trọng số cho mô hình mở đưa vào Foundry, và dự định ký số mô hình để khách hàng kiểm tra nguồn gốc.

Nguồn: The Hacker News