Microsoft scopre Lazarus: bastano pochi neuroni modificati per hackerare le intelligenze artificiali

I ricercatori di Microsoft hanno presentato un metodo inedito, denominato Lazarus, che consente di inserire comandi malevoli all'interno dei modelli di intelligenza artificiale attraverso la modifica di un numero estremamente ridotto di neuroni. Questa tecnica si distingue dai metodi tradizionali poiché non richiede il riaddestramento dell'intera rete neurale né la modifica del codice software che ne gestisce il funzionamento complessivo. Una volta che l'agente basato su intelligenza artificiale rileva un trigger specifico, esegue autonomamente l'istruzione preparata sfruttando i permessi di sistema che gli sono stati originariamente concessi.

Il funzionamento di Lazarus si basa sull'individuazione di neuroni che vengono attivati raramente e che, in condizioni normali, non influenzano quasi mai le risposte fornite dal modello. Gli esperti modificano i parametri interni di questi elementi trasformandoli in sensori capaci di reagire a una precisa sequenza di testo. Quando il segnale convenuto appare in una richiesta dell'utente o nella risposta di uno strumento collegato, i neuroni alterati costringono il sistema a inserire nel testo in uscita il comando malevolo preimpostato. Poiché ogni neurone gestisce solo un piccolo frammento di informazione, sono sufficienti pochissimi interventi mirati per comporre un'istruzione completa ed efficace ai fini di un attacco informatico.

Nelle sessioni di test condotte su diversi modelli linguistici, i risultati hanno mostrato un'elevata efficacia della tecnica. Nel caso di Nemotron-Terminal-8B, i ricercatori hanno modificato soltanto sette neuroni su un totale di oltre 12.000 situati nell'ultimo blocco della rete. Il modello compromesso ha generato correttamente il comando malevolo nel 98,8% dei casi in cui era presente il trigger, rimanendo invece inattivo e sicuro in tutte le sessioni prive del segnale di attivazione. Test analoghi sono stati eseguiti sui modelli Qwen3.6-27B e Gemma-4-31B-IT, con percentuali di successo comprese tra il 51% e il 99,5% a seconda della configurazione specifica adottata nelle simulazioni.

Durante una dimostrazione pratica, a un'istanza di Nemotron-Terminal-8B infettata è stato chiesto di correggere un problema su un server basato su Node.js. Dopo tre risposte iniziali regolari, alla ricezione di un messaggio di errore di connessione che fungeva da trigger, l'intelligenza artificiale ha generato un comando per scaricare ed eseguire uno script remoto. In questo scenario controllato, lo script è stato eseguito con i massimi privilegi di sistema, ovvero i diritti di root. Le conseguenze reali di una simile operazione dipendono esclusivamente dalle autorizzazioni concesse all'agente artificiale, dal suo accesso ai file locali e dalla sua capacità di comunicare con server esterni.

Per poter applicare il metodo Lazarus, un malintenzionato deve ottenere l'accesso ai pesi del modello. Questo può avvenire attraverso il furto di credenziali di account amministrativi, la compromissione delle infrastrutture aziendali o la pubblicazione di versioni modificate dei file in repository pubblici accessibili a terzi. Per mitigare questi rischi, il team di ricerca consiglia agli operatori del settore di confrontare sempre i parametri delle versioni caricate con gli originali, verificare scrupolosamente le fonti di provenienza e limitare i poteri degli agenti. È inoltre suggerito di eseguire il codice prodotto dalle IA in ambienti isolati e di prevedere sempre una conferma umana esplicita prima dell'esecuzione di comandi potenzialmente pericolosi.