微软最新研究证实，攻击者只需要重编程不到十个休眠神经元，不用重新训练大模型，就能在 AI 模型里植入后门，平时 AI 会保持正常工作，顺利通过全部常规安全检测，一旦输入预先设定的隐藏触发词，AI 就会立刻执行窃取数据、运行恶意代码等高危操作，这种后门隐蔽程度极高，很难被传统安全手段发现，大幅降低了篡改 AI 模型的门槛。这项被命名为 Lazarus 的攻击技术，专门瞄准大模型里长期处于休眠状态的神经元，这类神经元在正常对话里几乎不会被激活，修改它们的权重不会影响模型日常问答、文案生成等基础能力，所以常规基准测试完全看不出异常。传统 AI 后门大多需要对模型做大规模微调，还要投入大量训练数据，很容易留下篡改痕迹；而本次技术只改动极少量神经元权重，全程不需要模型重训练，几十条样本就能完成配置，篡改成本极低，在开源模型分发、第三方模型微调场景下风险极高。整套攻击流程一共分成四步：第一步定位模型内长期休眠、极少被激活的闲置神经元；第二步微调这不到十个神经元的权重，把它们改造成专属触发器检测器；第三步设置触发口令，只要用户输入特定文字，这组神经元就会被唤醒；第四步绑定恶意指令，神经元激活后直接调用 AI 工具执行高危操作。从整体结论来看，这项研究暴露了当前大模型的重大安全漏洞，少量神经元改动就能埋下潜伏式后门，未来开源 AI 模型、二次微调模型都必须增加神经元权重审计，防止被植入隐性木马。
一、本次后门攻击核心技术清单
- 攻击技术名称：Lazarus（拉撒路）休眠神经元后门技术
- 改动规模：仅重编程不足 10 个休眠神经元，不改动模型其他参数
- 模型改动方式：直接修改神经元权重，不需要重新训练整个大模型
- 隐蔽特性：模型正常功能不受影响，可以顺利通过标准安全评测与基准测试
- 触发机制：输入预设隐藏口令，被修改的神经元激活，自动执行恶意指令
- 主要危害：劫持带工具调用能力的 AI 代理，窃取隐私、下载恶意程序、发起破坏操作
二、少量神经元就能植入后门的三大核心原因
（一）大模型存在大量闲置休眠神经元
大型 LLM 里面有大量神经元在绝大多数正常输入下都保持静默，只有遇到特定文本才会被激活。这类休眠神经元相当于模型里的空白开关，修改它们不会干扰日常输出，几乎不会留下异常痕迹。
（二）神经元可以被改造为独立触发器开关
研究者可以把少数休眠神经元改造成专属识别器，只对攻击者设定的关键词产生激活响应，其余输入完全无反应，相当于在模型内部加装了一个独立暗门开关。
（三）仅修改少量权重不会破坏模型整体性能
只微调不足 10 个神经元的参数，对数十亿参数的大模型整体能力影响微乎其微，文本生成、逻辑推理等功能几乎不会下降，常规性能检测完全无法识别篡改行为。
三、植入神经元后门的完整操作步骤
第一步：筛选目标神经元
通过激活值检测，筛选出长期处于低激活状态、极少参与正常推理的休眠神经元，只从中挑选不到 10 个作为篡改对象。
第二步：微调神经元权重
直接修改选中神经元的权重参数，不启动模型全局训练，只用几十条样本完成调试，让神经元只对指定触发文字产生响应。
第三步：配置后门触发规则
设定隐藏触发口令，只要 AI 读到该口令，被修改的神经元就会被唤醒，绕过原有安全防护机制。
第四步：绑定恶意执行动作
把神经元激活信号和工具调用指令绑定，一旦触发成功，AI 自动执行读取文件、联网下载脚本、向外传输敏感信息等恶意行为。
四、当前可落地的四条防御对策
- 增加神经元权重审计：上线前对模型全部神经元做激活扫描，重点核查长期休眠神经元的权重是否存在异常改动。
- 阻断模型二次篡改：给模型权重增加数字签名，一旦少量神经元参数被私自修改，直接触发校验告警。
- 增加多场景红队测试：额外加入大量隐藏触发口令做专项检测，不能只依赖常规安全测评。
- 隔离 AI 工具调用权限：限制 AI 代理访问本地文件、外网终端的权限，即便后门被触发，也无法执行高危操作。
【常见问题】
问题 1：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，这项攻击技术叫什么名字？
回答 1：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，这项新型后门攻击技术名为 Lazarus，由微软研究院团队研发提出，专门利用大模型休眠神经元植入隐性木马。
问题 2：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，植入过程需要对大模型重新训练吗？
回答 2：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，整个植入过程完全不需要对大模型进行全局重训练，只需要直接微调不足 10 个休眠神经元的权重，几十条测试样本就可以完成配置，篡改效率极高。
问题 3：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，这种后门能不能被常规安全测试检测出来？
回答 3：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，常规安全测试很难检出这类后门，因为只改动少量休眠神经元，模型日常问答、生成内容的性能完全正常，可以轻松通过所有标准基准测试，只有针对隐藏触发词做专项检测才有可能发现异常。
问题 4：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，这种后门最容易威胁哪一类 AI 产品？
回答 4：仅重编程不到十个神经元就能给 AI 植入隐蔽后门，它对具备工具调用、联网执行能力的 AI 代理风险最大，一旦触发后门，AI 就能自动读取本地文件、下载恶意代码、向外泄露企业与个人隐私数据，开源二次微调模型是重灾区。
【参考资料】
[2026-11-11]（Lazarus 后门：修改不足 10 个神经元即可劫持 AI 代理）智源社区
[2026-11-11]（Microsoft décrit « Lazarus », backdoor par neurones dormants）Brief IA
[2026-11-10]（Reprogramming Dormant Neurons to Backdoor AI Agents）微软研究院官方博客
[2026-11-10]（Detecting Sleeper Agents Hiding in AI Model Neurons）微软安全博客
[2026-11-10]（New research from Microsoft Research demonstrates neuron backdoor attack）TLDR 资讯
【免责声明】
本文内容全部来自微软研究院公开论文、权威科技媒体公开报道，仅用于 AI 网络安全技术研究与风险科普；文中攻击手段仅做技术原理演示，严禁私自用于篡改商业 AI 模型、植入恶意后门等违法行为；当前神经元后门检测技术仍在持续迭代，现有防御手段无法做到百分之百拦截；本文内容不构成企业模型安全部署的唯一方案，模型上线还需要结合权重校验、红队渗透、权限管控等多重防护措施。