--- title: "Microsoft stellt Lazarus-Methode vor: Wie sieben veränderte Neuronen einen KI-Agenten in einen Trojaner verwandeln" description: "Microsoft-Forscher haben die Lazarus-Methode vorgestellt, mit der sich ein Schadbefehl durch Änderung von nur sieben Neuronen in einen KI-Agenten einbetten lässt, ohne Neuertraining oder Codeänderung." date: 2026-11-12T21:56:55.696Z lang: de url: https://xab.info/de/posts/microsoft-lazarus-ai-agent-backdoor-seven-neurons tags: [ai-backdoor, microsoft, neural-networks, ai-agents, cybersecurity, llm-security] author: "Alexander Buran" publisher: "XAB.info" --- # Microsoft stellt Lazarus-Methode vor: Wie sieben veränderte Neuronen einen KI-Agenten in einen Trojaner verwandeln ![Diagramm der Lazarus-Methode: Injektion eines schädlichen Backdoors in die Gewichte eines neuronalen KI-Netzwerks.](https://xab.info/media/2026/11/12/microsoft-lazarus-ai-agent-backdoor-seven-neurons/microsoft-lazarus-ai-agent-backdoor-seven-neurons-1.webp) ## Kernpunkte - Die Lazarus-Methode injiziert einen Schadbefehl durch Änderung weniger selten aktivierter Neuronen ohne Neutraining des Modells. - Bei Nemotron-Terminal-8B wurden 7 von über 12.000 Neuronen verändert, Aktivierungsrate mit Trigger bei 98,8 %. - Bei Qwen3.6-27B und Gemma-4-31B-IT lagen die Aktivierungsraten zwischen 51 und 99,5 %. - Im Demoszenario führte das infizierte Modell einen Skript-Download-Befehl mit Root-Rechten aus. - Microsoft empfiehlt den Vergleich von Versionsgewichten, Quellprüfungen und menschliche Bestätigung für gefährliche Befehle. Microsoft-Forscher haben eine Methode namens **Lazarus** vorgestellt, die es ermöglicht, Schadbefehle unbemerkt in Sprachmodelle zu injizieren, indem nur wenige Neuronen modifiziert werden. Das Hauptmerkmal dieses Ansatzes ist, dass weder das gesamte Modell neu trainiert noch der Programmcode geändert werden muss. Nach dem Auftreten eines speziellen Triggers führt der infizierte KI-Agent die vorbereitete Anweisung mithilfe seiner Systemrechte eigenständig aus. Im Wesentlichen verwandelt sich das Modell in ein trojanisches Pferd, das sich unter normalen Bedingungen unauffällig verhält, aber auf Signal hin eine schädliche Instruktion ausgibt. ### Selten aktivierte Neuronen als Trigger-Sensoren Der Lazarus-Mechanismus stützt sich auf sogenannte selten aktivierte Neuronen – Netzwerkelemente, die kaum Einfluss auf die normalen Antworten des Modells haben. Forscher verändern deren interne Parameter (Gewichte) und machen sie so zu speziellen Sensoren für eine bestimmte Textsequenz. Wenn der Trigger in einer Nutzeranfrage oder in der Antwort eines an den Agenten angeschlossenen Tools auftaucht, feuern die modifizierten Neuronen und zwingen das Modell, einen vorbereiteten Befehl in seine Ausgabe einzufügen. Da jedes dieser Neuronen nur für ein kleines Fragment der Anweisung verantwortlich ist, genügen wenige gezielte Änderungen, um einen kurzen Befehl zu erzeugen. Im Gegensatz zu herkömmlichen Backdoor-Methoden erfordert Lazarus kein vollständiges Training des Modells mit schädlichen Beispielen. ### Experimente: Von 7 Neuronen bis zu 98,8 % Erfolgsquote In einem Experiment modifizierten die Forscher sieben von über 12.000 Neuronen im letzten Block des neuronalen Netzwerks Nemotron-Terminal-8B. Das infizierte Modell gab den Zielbefehl in 98,8 % der Test-Sitzungen mit Trigger erfolgreich aus, während in geprüften Sitzungen ohne Trigger keine Aktivierungen verzeichnet wurden. Die Methode wurde zudem an den Modellen Qwen3.6-27B und Gemma-4-31B-IT getestet, wo die Erfolgsraten je nach Konfiguration zwischen 51 % und 99,5 % lagen. Wichtig ist, dass diese Zahlen die Wahrscheinlichkeit der Befehlsausgabe durch das Modell charakterisieren und nicht die Wahrscheinlichkeit einer erfolgreichen Durchführung eines vollständigen Cyberangriffs. ### Demonstration: Befehl mit Root-Rechten in Testumgebung In einem Demonstrationsszenario wurde die infizierte Nemotron-Terminal-8B gebeten, einen Node.js-Server zu reparieren. Die ersten drei Antworten des Modells waren normal und enthielten nichts Verdächtiges. Nachdem jedoch eine Verbindung Fehlermeldung einging – die als Trigger fungierte –, generierte das Modell einen Befehl zum Herunterladen und Ausführen eines externen Skripts. In der Testumgebung wurde das Skript mit den höchsten Privilegien, sprich Root-Rechten, ausgeführt. Die Folgen eines solchen Angriffs unter realen Bedingungen hängen von den dem KI-Agenten erteilten Berechtigungen, seinem Dateisystemzugriff und seiner Fähigkeit zur Verbindung mit externen Servern ab. ### Implementierungsbedingungen und Microsoft-Empfehlungen Um Lazarus einzusetzen, benötigt ein Angreifer Zugriff auf die Modellgewichte – beispielsweise über ein gestohlenes Konto, eine kompromittierte Infrastruktur oder die Veröffentlichung einer modifizierten Datei in einem offenen Repository. Als Gegenmaßnahme formuliert Microsoft eine Reihe von Schutzmaßnahmen: Abgleich der Parameter jeder Modellversion mit dem Original, Überprüfung von Download-Quellen, Einschränkung der Agentenprivilegien, Ausführung ihres Codes in isolierten Umgebungen sowie die Forderung nach menschlicher Bestätigung vor der Ausführung potenziell gefährlicher Befehle. ### Bedeutung für die Sicherheit von KI-Agenten Die Lazarus-Methode zeigt, dass sich die Angriffsfläche für moderne KI-Agenten vom Anwendungscode auf die Modellgewichte selbst verlagert. Die gezielte Änderung einer geringen Anzahl von Neuronen kann einen versteckten Steuerungskanal erzeugen, der ohne gezielten Versionsparametervergleich nur schwer zu erkennen ist. Für Organisationen, die autonome Agenten mit Infrastrukturzugriff einstellen, bedeutet dies, dass Praktiken zur Integritätskontrolle von Modellen überarbeitet und das Prinzip der geringsten Privilegien verschärft werden müssen. ## Faktencheck und Quellen - [Microsoft показала, как превратить ИИ-агента в троян, изменив всего семь нейронов](https://3dnews.ru/1151240) - Primärquelle: Beschreibung der Lazarus-Methode, Experimentdaten (7 Neuronen, 98,8 %, 51–99,5 %), Demoszenario mit Root-Rechten und Microsoft-Empfehlungen. ## Häufige Fragen ### Was ist die Lazarus-Methode? Es ist eine von Microsoft entwickelte Methode, mit der ein Schadbefehl durch Modifikation weniger selten aktivierter Neuronen in ein KI-Modell eingebettet werden kann, ohne das Modell neu zu trainieren oder seinen Code zu ändern. ### Wie viele Neuronen mussten bei Nemotron-Terminal-8B geändert werden? Sieben Neuronen von über 12.000 im letzten Block des neuronalen Netzwerks. ### Wie erfolgreich war die Aktivierung des infizierten Modells? Bei Nemotron-Terminal-8B wurde der Befehl in 98,8 % der Sitzungen mit Trigger ausgegeben; bei Qwen3.6-27B und Gemma-4-31B-IT lagen die Werte je nach Konfiguration zwischen 51 und 99,5 %. ### Was benötigt ein Angreifer, um Lazarus einzusetzen? Zugriff auf die Modellgewichte – über ein gestohlenes Konto, eine kompromittierte Infrastruktur oder die Veröffentlichung einer modifizierten Datei in einem offenen Repository. ### Welche Sicherheitsmaßnahmen empfiehlt Microsoft? Abgleich von Versionsparametern mit dem Original, Prüfung von Download-Quellen, Einschränkung von Agentenrechten, Codeausführung in isolierten Umgebungen und menschliche Bestätigung vor gefährlichen Befehlen.