Microsoftの研究者らは2026年11月10日(現地時間)、AIモデル内の休眠ニューロンを再プログラムし、悪意あるコマンドを実行させる新たなバックドア技術「Lazarus」を発見したと発表した。この手法は、AIモデルの再訓練を必要とせず、標準的な安全評価プロセスを容易に通過するため、従来の検出が極めて困難である。隠れたトリガーの出現時に正規のAIエージェントに悪意のある動作を実行させるもので、特にツールやターミナルへのアクセスを持つAIエージェントにとって深刻な脅威となる。
Microsoftの研究チームが特定した「Lazarus」は、既存のAIモデルの再訓練を一切必要とせず、標準的な安全評価プロセスを容易に通過してしまう。この特性により、モデルの提供元とその重みの整合性を確認することが、新たなセキュリティ上の重要課題として浮上している。
同社は顧客を保護するため、すでにMicrosoft Foundryを通じてモデルの出所を検証し、モデルを信頼できる発行元と結びつける措置を講じている。さらに、オープンウェイトモデルの導入前には、周辺のソフトウェア環境を詳細にスキャンする仕組みを導入している。Microsoftは、AIを活用した重みスキャン機能、異常なモデル改変を検出するレッドチームツール、および改ざん防止機能を持つ暗号化モデル署名と監査証跡といった、より高度な防御策の開発も進めている。
研究者らの分析によれば、大規模言語モデル（LLM）において、わずか10個未満の休眠ニューロンの重みを再プログラムするだけで、その上に構築されたAIエージェントにバックドアを仕掛けることが可能だという。この攻撃は、ターゲットとなるモデルの訓練を一切必要としない点が特徴である。攻撃トリガーは、日付変更のような一見無害な日常的なイベントである可能性があり、例えば2027年になったと同時に、エージェントが通常のタスクを実行中に、攻撃者の指定したコードをダウンロードし実行するコマンドを発行するといったシナリオが考えられる。これは、AIエージェントが悪意ある指示を隠蔽された状態で実行するように仕向けられる危険性を示している。
一方で、最先端のAIエージェントである「フロンティアエージェント」に、異常な重み改変を探すよう指示することで、こうした悪意ある変更を検知できることが示されている。ただし、信頼性の高い検出には、オリジナルの未改変の重みとの比較が不可欠となるため、モデルの正確な出所情報の重要性が改めて強調されている。Microsoft Foundryは、Azure Direct ModelsおよびHugging Faceモデルに対し、モデルの出所が安全であることを保証する重要な安全システムを提供しており、信頼できるラボからのモデルに対する攻撃から顧客を保護する役割を担っている。Microsoftは今後、モデルの署名、検証可能な出所情報、および改ざん防止の監査機能に関する計画も推進していくとしている。
参考: Microsoft Research Blog (アーカイブ) — 2026年11月11日 05:52 (JST)