Microsoft cảnh báo cửa hậu Lazarus trong mô hình AI agent

Một mô hình AI có thể vượt qua mọi bài kiểm tra an toàn, làm việc bình thường, rồi bất ngờ biến thành công cụ tấn công khi lịch chuyển sang một ngày đã định trước. Đó là kết quả nghiên cứu mà Microsoft Research công bố ngày 10/11/2026 dưới cái tên Lazarus.

Lazarus là gì và vì sao nó đáng lo

Ngày 10/11/2026, Microsoft Research công bố bài nghiên cứu "Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents". Lazarus là kỹ thuật cài cửa hậu (backdoor) bằng cách lập trình lại các nơ-ron ngủ, tức những nơ-ron gần như không bao giờ kích hoạt trong hoạt động bình thường của mô hình ngôn ngữ lớn.

Điểm đáng lo nhất là kỹ thuật này không cần huấn luyện lại mô hình hay dữ liệu độc hại, kẻ tấn công chỉ cần quyền ghi vào trọng số đã lưu là đủ. Mối đe dọa nghiêm trọng nhất với agent AI có quyền dùng công cụ hoặc terminal: khi tín hiệu kích hoạt xuất hiện, agent phát ra lệnh tải về và chạy mã độc, đánh cắp bí mật hoặc thực thi lệnh phá hoại, với đúng quyền người dùng đã cấp.

Cái tên Lazarus gợi hình ảnh hồi sinh: những nơ-ron tưởng như đã chết được đánh thức để làm việc cho kẻ tấn công. Những cửa hậu kiểu này rất khó phát hiện bằng kiểm tra thông thường, vì vậy nguồn gốc mô hình và tính toàn vẹn của trọng số đang trở thành vấn đề an ninh cốt lõi.

Chưa tới 10 nơ-ron cũng đủ mở cửa hậu

Con số mà Microsoft đưa ra gây bất ngờ ngay cả với giới nghiên cứu: trên mô hình Nemotron-Terminal-8B của NVIDIA, chỉ 7 nơ-ron trong hơn 12.000 nơ-ron của khối feed-forward cuối cùng là đủ để cài cửa hậu, còn trên Qwen 3.6-27B con số là 6 nơ-ron.

Mỗi nơ-ron được lập trình lại có thể ép mô hình sinh ra đúng một token bất kỳ bằng cách khuếch đại tín hiệu của nó trong luồng tính toán. Nối nhiều nơ-ron như vậy lại, kẻ tấn công có thể ghép thành chuỗi lệnh tùy ý để agent thực thi trong terminal.

Các nơ-ron ngủ được biến thành bộ dò tín hiệu kích hoạt: quá trình tiền huấn luyện đã tổ chức các biểu diễn nội bộ rất tốt, tới mức một bộ phân loại tuyến tính huấn luyện trên khoảng 50 ví dụ là đủ để phân biệt đầu vào có tín hiệu kích hoạt với đầu vào bình thường.

Lazarus cũng chỉ cần sức mạnh tính toán ở mức suy luận: máy nào đủ RAM để chạy một mô hình thì cũng đủ sức cài cửa hậu kiểu này, không cần cụm GPU huấn luyện đắt tiền.

Xem thêm: Google DeepMind dùng AI chứng minh mã hóa Signal an toàn — https://thinnguyen.com/blog/google-deepmind-alphaproof-code-chung-minh-ma-hoa-signal

Kích hoạt bằng một thay đổi nhỏ trên lịch

Tín hiệu kích hoạt có thể là một cụm từ trong yêu cầu của người dùng, một chuỗi ký tự ẩn trong đầu ra của công cụ, hoặc đơn giản là ngày tháng. Ví dụ của Microsoft: khi đồng hồ bước qua nửa đêm sang năm 2027, một agent đang làm tác vụ bình thường bỗng phát ra lệnh tải về và chạy mã của kẻ tấn công, rồi thực thi nó với đúng quyền người dùng đã cấp.

Trước thời điểm đó, mô hình hành xử hoàn toàn bình thường và vượt qua các bài đánh giá an toàn tiêu chuẩn, vì các nơ-ron bị sửa gần như không bao giờ kích hoạt trong quá trình kiểm tra.

Đây là điểm phân biệt Lazarus với tấn công prompt injection quen thuộc: prompt injection chèn lệnh độc qua đầu vào, còn Lazarus sửa chính mô hình trước khi triển khai, nên mọi lớp phòng vệ ở tầng nhắc nhở hay lọc đầu vào đều không chạm tới được cửa hậu.

Phát hiện bắt đầu từ một thử nghiệm với Claude Code

Tháng 3/2026, nhà nghiên cứu chính Dimitris Papailiopoulos thuộc phòng thí nghiệm Catalyst Lab của Microsoft Research yêu cầu Claude Code, chạy trên mô hình Opus 4.5 của Anthropic, thử cài cửa hậu cho một mô hình bằng cách nối cứng vài kích hoạt mà không cần huấn luyện. Claude Code đã làm được, và thử nghiệm nhanh đó trở thành một nghiên cứu kéo dài nhiều tháng. Microsoft cho biết phần lớn kỹ thuật Lazarus được Claude Code phát hiện một cách tự chủ.

Tin tốt là những chỉnh sửa kiểu này có thể bị phát hiện: các agent tiên tiến có thể nhận ra thay đổi trọng số bất thường khi được yêu cầu kiểm tra. Tuy nhiên Microsoft thừa nhận không có cách quét nào chứng minh tuyệt đối một mô hình là an toàn. Cách đáng tin nhất là đối chiếu trọng số với bản gốc chưa bị sửa, vì vậy nguồn gốc của mô hình mới là yếu tố then chốt.

Ai gặp rủi ro và doanh nghiệp nên phòng vệ ra sao

Điều kiện tiên quyết là kẻ tấn công phải có quyền ghi vào một bản sao trọng số, qua tài khoản bị xâm phạm, pipeline bị tấn công hoặc kho lưu trữ không an toàn. Microsoft nhấn mạnh đây không phải luận điểm chống lại mô hình open-weight: mô hình doanh nghiệp tự phát triển cũng phơi nhiễm như nhau, vấn đề nằm ở tính toàn vẹn của trọng số và nguồn gốc, không nằm ở việc mô hình mở hay đóng.

Microsoft Threat Intelligence cho biết chưa ghi nhận tác nhân đe dọa nào sử dụng kỹ thuật này ngoài phòng thí nghiệm. Lazarus hiện là rủi ro đã được chứng minh trong nghiên cứu, chưa phải chiến dịch tấn công đang diễn ra, nhưng chính vì kỹ thuật này rẻ, lặng lẽ và khó phát hiện, các tổ chức đưa agent AI vào vận hành vẫn nên chuẩn bị trước.

Về phía Microsoft, nền tảng Foundry đang xác minh nguồn gốc mô hình, gắn mỗi mô hình với nhà phát hành gốc và quét môi trường phần mềm trước khi đưa mô hình open-weight vào sử dụng. Hãng cũng đang phát triển quét trọng số bằng AI, công cụ red-team phát hiện sửa đổi trọng số bất thường, và ký số mô hình với nguồn gốc có thể kiểm chứng cùng nhật ký chống giả mạo.

Với doanh nghiệp và người dùng, Microsoft đưa ra năm khuyến nghị: biết rõ mô hình từ đâu tới; giới hạn quyền của agent ở mức tối thiểu; giám sát hành động của agent; xem xét lại các hành động có hậu quả trước khi cho thực thi; và coi kết quả kiểm tra là bằng chứng chứ không phải bảo đảm tuyệt đối. Bài học lớn nhất từ Lazarus là hãy coi mô hình như một rủi ro nội bộ tiềm ẩn: không tin tưởng tuyệt đối, giới hạn những gì nó được phép làm, và theo dõi những gì nó thực sự làm.

Xem thêm: Runway mở open-weight Praxis-1, mô hình robot học từ video — https://thinnguyen.com/blog/runway-mo-open-weight-praxis-1-mo-hinh-robot-hoc-tu-video

Nguồn tham khảo: Microsoft Research