Изследователи от Microsoft публикуваха на 11 ноември предпечат за Lazarus — метод, при който малка промяна в теглата може да добави скрито поведение към езиков модел. Публичното изследователско съобщение е от 10 ноември; новият научен запис не е доказателство за открита масова компрометация на реални потребители.

Авторите са Yuchen Zeng, Giorgio Severi, Blake Bullwinkel, Eric Horvitz и Dimitris Papailiopoulos. Работата поставя въпроса как се проверява самият модел, когато той управлява агент с достъп до инструменти.

Защо обичайният добър отговор не е достатъчен

В описания експеримент промени в малък брой рядко активни неврони могат да оставят нормалното поведение привидно запазено, докато определен сигнал не задейства друго действие. В един тест авторите редактират седем неврона на Nemotron-Terminal-8B и съобщават поне 98,8% задействане върху отделени тестови траектории със сигнал.

Това е резултат в изследователска постановка. Той не е честота на успешни атаки срещу произволен внедрен агент и не означава, че всеки модел с отворени тегла е заразен. Необходимо условие в разглеждания сценарий е възможност за промяна или подмяна на моделен артефакт.

Microsoft Research подчертава, че въпросът засяга и вътрешно разработвани модели: достъпът за запис до хранилище или процес за доставка може да бъде слабата точка. Отвореността сама по себе си не е обяснение за компрометиране, както и затвореното разпространение не удостоверява автоматично всеки файл във вътрешна инфраструктура.

Три различни вида проверка

Редакционен анализ: проверката, че файлът идва от очакван източник, проверката за опасен изпълним код при зареждане и оценяването на поведението на модела са различни задачи. Един файл може да е безопасен за десериализация, но да съдържа нежелани научени зависимости. Обратно, подозрителен резултат от поведенчески тест не доказва сам по себе си подменени тегла.

Защитната публикация на Microsoft препоръчва проверим произход, сравняване с декларирания базов модел и одит след обновяване. Тя изрично отличава сканирането за зловреден код и опасни операции във файловия формат от одит на самите тегла. Преминаването на одит намалява риска, без да гарантира безопасно поведение във всички ситуации.

На практика проследимата версия позволява да се установи кой артефакт е обслужвал дадена заявка. Ако името на модела остане същото, а файлът се промени без запис, разследването на необичаен резултат става значително по-трудно. Това е редакционен извод за управлението на версии, не отделен измерен резултат от Lazarus.

Разрешенията определят последствията

OWASP описва прекомерната агентна власт като съчетание от ненужно широки функции, разрешения и автономност. Този контекст е важен: опасният предложен изход и действителното изпълнение не са едно и също. Приложението решава какви действия могат да последват от генерирания текст.

Практическият редакционен извод е инструментите да бъдат ограничени до необходимото, а действия с големи последствия да минават през отделно потвърждение. Изолираното изпълнение, контролът на мрежовия достъп и журналът на действията са допълващи се слоеве; нито един не превръща съмнителен модел в доказано надежден.

Какво остава неустановено

Предпечатът съобщава и възможност за откриване на модифицирани модели, но това не е безгрешен детектор. Публикуваните експерименти не установяват колко такива промени съществуват извън изследването. SIExpo не е тествала атаката или защитите.

Съществената новина е разширяването на проверката от код и зависимости към моделните тегла. За екипите, които използват агенти, това е основание да свържат произхода на модела, неговата версия и разрешените операции в една проследима система, вместо да приемат добър резултат в обичайни задачи за универсално удостоверение.

Източници: Zeng et al.: Lazarus model-weight research preprint, Microsoft Research: Lazarus research announcement, Microsoft Security: Model provenance and defensive scanning, OWASP: Excessive agency and least privilege.

Корицата е концептуална AI илюстрация, не документална снимка.

Проверено от редакцията: 2026-11-13T17:42:40.897636+00:00.