11月11日、Microsoft Research BlogにてDimitris Papailiopoulos（Microsoft）が「Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents」と題した記事を公開した。この記事では、LLMの休眠ニューロンを10個以下書き換えるだけでAIエージェントにバックドアを仕込める攻撃手法「Lazarus」の発見と、その対策について詳しく紹介されている。

わずか10ニューロン以下の書き換えで、AIエージェントが乗っ取られる

Microsoftのプリンシパルリサーチャー、Dimitris Papailiopoulosが発見した攻撃手法「Lazarus」の核心は、モデルの再学習なしにバックドアを埋め込めるという点にある。

LLMには、通常ほとんど発火しない「休眠ニューロン」が大量に存在する。これはLLMのスパース性（多数のパラメータのうち実際の推論で活性化されるものが限られるという性質）の副産物として生じる現象であり、Lazarusはこれを悪用する。事前学習によってモデル内部の表現は高度に構造化されているため、約50件のサンプルで学習させた線形分類器だけで、トリガーを含む入力とそうでない入力を高精度に識別できる。この性質を利用して休眠ニューロンを「トリガー検出器」として再プログラムし、特定の条件が満たされたときだけ発火させる。

発火した再プログラム済みニューロンは、残差ストリーム（Transformerアーキテクチャ内で各層の出力が加算されながら情報が伝搬される主要経路）に強制的に任意のトークンを書き込める。複数のニューロンを連鎖させることで、任意のコマンド列をターミナルに送り込むことが可能だ。

具体例として論文中に挙げられているのが、日付トリガーだ。2027年に日付が変わった瞬間、平常通りタスクをこなしていたエージェントが突然、攻撃者のコードをダウンロードして実行するコマンドを発行する。エージェントがツールやターミナルへのアクセス権を持っていれば、その権限の範囲内でコードが実行される。

さらに恐ろしいのは、インフラ要件の低さだ。攻撃はモデルの推論に必要なRAMさえあれば実行できる。モデルを動かせる環境であれば、バックドアを仕込める。

標準的な安全評価をすり抜ける

バックドアを仕込まれたモデルは、トリガーが現れるまで完全に正常に動作する。標準的な安全評価（eval）をすべて通過してしまうという点が、このリスクの深刻さを高めている。

また、これは「オープンウェイトモデルの問題」ではない、とDimitrisは強調している。攻撃に必要なのはチェックポイントファイルへの書き込みアクセスのみであり、内部開発モデルも同様に脆弱だ。アカウントの侵害、CI/CDパイプラインへの不正アクセス、ストレージへの侵入——どれもベクターになりうる。重要なのは重みの完全性（Weight Integrity）とプロベナンス（来歴の追跡可能性）だ。

Claude Code with Opus 4.5が手法の大半を自律的に発見した

研究の経緯も興味深い。もともとは2026年3月の「小さな実験」として始まった。DimitrisがClaude Code with Opus 4.5に「再学習なしで、いくつかの活性化を直接書き換えることでモデルにバックドアを仕込んでほしい」と依頼したところ、実際にそれが実現してしまった。その後数か月にわたる研究へと発展し、Lazarusという手法が体系化された。

論文では、Lazarusの手法の大部分をClaude Code with Opus 4.5が自律的に発見したと明記されている（原文中で[!!!]と強調されている）。AIがAIへの攻撃手法を発見するという構図は、今後のAIセキュリティ研究の方向性を示すものとして注視すべきだ。

同時に、この経緯はAIセキュリティ研究における倫理的な問いも浮き彫りにする。AIが自律的に攻撃手法を生成・発見できるという事実は、研究上の有用性と悪用リスクの双方を孕む。本研究がMicrosoft Research Blogという公式チャンネルを通じて公表され、防御策と緩和ガイダンスを同時に開示しているのは、いわゆる責任ある開示（Responsible Disclosure）の枠組みに沿った判断と見ることができる。AIが攻撃手法を発見する時代において、開示の責任とタイミングをどう設計するかは、今後の業界横断的な議論が求められる課題だ。

検出と防御：プロベナンスが鍵

検出は可能だ、とDimitrisは述べている。フロンティアモデル（最先端の大規模モデル）は、異常な重みの編集を検出できる。ただし、元の未改ざん重みとの差分（diff）が不可欠であり、比較元がなければ確実な検出は不可能だ。「監査は保証ではなく、証拠として扱うべき」という表現が、現状の限界をよく示している。

Microsoftが現在実施している対策は以下の通りだ。各施策は単独で完結するものではなく、プロベナンスの確立という共通の目標に向けた多層防御として機能する。

• Microsoft Foundryによるモデルプロベナンスの検証。AzureのDirect ModelsおよびHugging Faceモデルについて、各モデルを元の発行者と紐づける管理を実施している
• モデルはMicrosoft自身のコンテナ内で実行され、コンテナは個別に脆弱性スキャンにかけられる
• フロンティアエージェントを用いた重みスキャンの追加セキュリティシグナルとしての活用（開発中）
• 検証可能なプロベナンスと改ざん防止監査ログを備えた暗号署名（計画中）

エンタープライズ向けの推奨事項として、論文は「モデルの出所を把握する」「エージェントの権限を最小化する」「エージェントの行動を監視する」「重要なアクションは実行前に人間がレビューする」「監査は保証ではなく証拠として扱う」の5点を挙げている。これらはいずれも、バックドアの「検出」よりも「被害の局所化」を重視した現実的なアプローチだ。

Microsoftの脅威インテリジェンスによる保護・緩和ガイダンスも公開されている。

詳細はLazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agentsを参照していただきたい。