Lazarus: Zehn manipulierte Neuronen machen KI-Agenten zum Trojaner

Worum es geht

Microsoft Research hat am 10. November 2026 eine Angriffstechnik vorgestellt, die die Forscher „Lazarus“ nennen. Der Titel des Blogbeitrags, „Lazare, veni foras“ („Lazarus, komm heraus“), spielt auf die biblische Auferweckung des Lazarus an. Genau darum geht es: Die Methode weckt „schlafende“ Neuronen in einem Sprachmodell auf und gibt ihnen eine neue Aufgabe. Ein so verändertes Modell arbeitet ganz normal und besteht die üblichen Sicherheitsprüfungen. Taucht aber ein bestimmter Auslöser auf, schickt es Befehle aus, die ein Angreifer vorher festgelegt hat.

Gefährlich wird das vor allem bei KI-Agenten, also Programmen, in denen ein Sprachmodell selbstständig Werkzeuge bedient, Befehle im Terminal ausführt oder Dateien bearbeitet. Ein manipulierter Agent könnte unbemerkt Schadcode laden und starten, Zugangsdaten stehlen oder zerstörerische Befehle ausführen. Er hat dabei genau die Rechte, die man ihm eingeräumt hat.

Entdeckt hat die Technik der Forscher Dimitris Papailiopoulos. Nach seinen Angaben stammt der Großteil der Arbeit aber gar nicht von ihm, sondern von einem KI-Agenten.

Wie der Angriff funktioniert

In jedem großen Sprachmodell gibt es viele Neuronen, die nur selten aktiv werden. Man kann sie sich wie Lichtschalter in einem Gebäude vorstellen, die fast nie jemand betätigt. Lazarus ändert in den gespeicherten Modelldateien die Werte von weniger als zehn dieser Neuronen. Danach schalten sie sich nur noch ein, wenn ein bestimmter Auslöser (Trigger) in der Eingabe vorkommt.

Das klappt laut den Forschern, weil das Vortraining die internen Darstellungen eines Modells sehr sauber ordnet. Ein einfacher linearer Klassifikator (ein simples Rechenverfahren, das Eingaben anhand einer gedachten Trennlinie in zwei Gruppen sortiert) braucht nur rund 50 Beispiele, um Eingaben mit Trigger von solchen ohne zu unterscheiden. Diese Unterscheidung lässt sich direkt in ein schlafendes Neuron einbauen.

Der zweite Schritt: Feuert ein umprogrammiertes Neuron, kann es das Modell zwingen, ein ganz bestimmtes Token auszugeben, also ein Textstück wie ein Wort oder Wortteil. Die Forscher sagen, das Neuron „schreit“ das Token in den Residual Stream, den internen Datenstrom, der durch alle Schichten des Modells läuft und am Ende die Ausgabe bestimmt. Ein Neuron ergibt ein Token. Hängt man mehrere hintereinander, entsteht eine beliebige Zeichenkette, zum Beispiel ein vollständiger Terminalbefehl.

Als Beispiel nennt Microsoft einen ganz gewöhnlichen Auslöser: Sobald die Uhr nach Mitternacht ins Jahr 2027 springt, gibt der Agent mitten in einer normalen Aufgabe einen Befehl aus, der den Code des Angreifers herunterlädt und ausführt. Das Fachportal Superpower Daily stellt klar, dass dieses Datum nur zur Veranschaulichung dient und keinen tatsächlich geplanten Angriff ankündigt.

Was ein Angreifer braucht und was nicht

Die Hürde ist niedrig. Lazarus kommt ohne Training aus und braucht nur so viel Rechenleistung wie das normale Ausführen des Modells, die sogenannte Inferenz. Microsoft formuliert es so:

Wenn dein Rechner genug Arbeitsspeicher hat, um ein Modell auszuführen, hat er auch genug, um ihm eine Hintertür in die Gewichte einzubauen.

Die eigentliche Voraussetzung ist Schreibzugriff auf einen gespeicherten Stand des Modells, einen sogenannten Checkpoint. Microsoft betont ausdrücklich, dass die Studie kein Argument gegen Open-Weight-Modelle ist, also gegen frei herunterladbare Modelle. Auch firmeneigene Modelle sind betroffen. Es genügt ein gehacktes Konto, eine kompromittierte Entwicklungs-Pipeline oder ein schlecht geschützter Speicherort. Entscheidend ist, ob die Modelldateien unverändert sind und ob ihre Herkunft nachweisbar ist.

In der Sicherheitsforschung sind Hintertüren in KI-Modellen nicht neu. Microsoft verweist auf eine Reihe früherer Arbeiten dazu. Neu ist, wie wenig Aufwand nötig ist und dass die Methode direkt auf Agenten mit Werkzeugzugriff zielt.

Ein KI-Agent als Mitentdecker

Auffällig ist, wie die Studie entstand. Papailiopoulos schreibt, alles habe im März als schnelles Experiment angefangen: Er bat Claude Code mit dem Modell Opus 4.5, einem Modell ohne Training eine Hintertür einzubauen, indem es ein paar Aktivierungen fest verdrahtet. Das gelang. Daraus wurde eine mehrmonatige Untersuchung. Mit drei Ausrufezeichen hebt der Forscher hervor, dass Claude Code den Großteil der Erkenntnisse selbstständig gefunden habe.

Microsoft sieht darin ein Muster für die Zukunft: KI-Agenten stoßen auf neue Sicherheitsprobleme, und menschliche Forschende ordnen sie anschließend ein, untersuchen sie und entwickeln Gegenmittel.

Wie man sich schützen kann

Es gibt auch eine gute Nachricht. Solche Eingriffe lassen sich entdecken. Laut den Forschern erkennen moderne KI-Agenten auffällige Änderungen an den Gewichten, wenn man sie gezielt danach suchen lässt. Allerdings kann laut Microsoft kein Scan zweifelsfrei beweisen, dass ein Modell sicher ist. Verlässlich klappt die Erkennung nur mit einem Diff, einem direkten Vergleich mit den unveränderten Originaldateien. Deshalb ist die Provenienz so wichtig, also der nachweisbare Weg eines Modells vom Entwickler bis zum Einsatz ohne Veränderung dazwischen.

Im Grunde behandelt Microsoft manipulierte Modelle wie kompromittierte Software. Die Abwehr folgt bekannten Grundsätzen, die laut dem Beitrag auch Microsoft-Chef Satya Nadella kürzlich beschrieben hat: Modelle als mögliches Insider-Risiko behandeln, ihnen nicht blind vertrauen, ihre Rechte begrenzen und überwachen, was sie tun. Die Forscher fordern außerdem, Modellgewichte künftig so zu prüfen wie Programmcode. Bisher sei das nicht üblich.

Für die eigene Plattform Microsoft Foundry nennt der Konzern diese Maßnahmen:

Ein Risiko bleibt laut Microsoft trotzdem: Der vertrauenswürdige Anbieter selbst könnte kompromittiert sein, etwa über seine Trainingsinfrastruktur oder durch einen Insider. Dagegen helfen Herkunftsnachweise nur begrenzt, deshalb sollen die zusätzlichen Prüfverfahren entstehen.

Einordnung

Lazarus zeigt ein Problem, das mit der Verbreitung von KI-Agenten wächst. Früher konnte ein manipuliertes Sprachmodell im schlimmsten Fall falsche Texte schreiben. Heute haben Agenten oft Zugriff auf Terminal, Dateien und Zugangsdaten. Eine einzige ausgegebene Zeile kann dann großen Schaden anrichten. Besonders unangenehm: Verhaltenstests reichen nicht aus, denn das Modell verhält sich bis zum Auslöser völlig normal.

Für Firmen und Bastler, die Modelle aus verschiedenen Quellen herunterladen, nachbearbeitete Versionen nutzen oder eigene Checkpoints auf geteilten Servern ablegen, folgt daraus zweierlei: Man sollte genau wissen, woher eine Modelldatei kommt, und Agenten nur so viele Rechte geben wie unbedingt nötig. Prüfsummen und signierte Veröffentlichungen gewinnen dadurch an Bedeutung.

Einige Punkte sind noch offen. Der Blogbeitrag nennt keine Angaben dazu, an welchen Modellen die Methode getestet wurde oder wie zuverlässig die Erkennung durch KI-Agenten in der Praxis ist. Microsofts eigene Schutzmaßnahmen sind zum Teil erst geplant. Dazu kommt, dass Microsoft die Forschung mit Werbung für die eigene Plattform Foundry verbindet. Das muss man bei der Darstellung der Schutzwirkung berücksichtigen. Unabhängig davon ist der Kern der Arbeit gut nachvollziehbar und plausibel: Wer die Modelldateien verändern kann, kontrolliert den Agenten.