Microsoft scopre Lazarus: bastano sette neuroni per nascondere una backdoor negli agenti AI

🛡️ Executive Summary

• Microsoft Research presenta Lazarus, una tecnica che modifica meno di dieci neuroni di un modello AI. La backdoor rimane inattiva finché non compare una stringa specifica nel contesto dell’agente.
• Sette neuroni manipolati ottengono almeno il 98,8% di attivazioni nei test su Nemotron-Terminal-8B. Il modello conserva sostanzialmente le proprie capacità e può superare le normali valutazioni.
• Il rischio riguarda i checkpoint compromessi e gli agenti con accesso agli strumenti. Microsoft raccomanda di verificare i pesi originali, limitare i privilegi e controllare le azioni eseguite.

Bastano sette neuroni modificati per trasformare un modello di intelligenza artificiale in un agente capace di eseguire comandi nascosti quando incontra un determinato segnale. È il risultato della ricerca Lazarus, pubblicata il 10 novembre 2026 da Microsoft Research, che dimostra come una backdoor possa essere inserita direttamente nei pesi di un modello linguistico senza doverlo riaddestrare integralmente. L’esperimento riguarda modelli open-weight utilizzati in contesti agentici, dove l’intelligenza artificiale non si limita a generare testo ma può eseguire comandi, utilizzare strumenti e interagire con sistemi operativi. Gli attaccanti devono poter modificare il checkpoint del modello, ma una volta inserita la backdoor il comportamento malevolo può rimanere invisibile durante le normali valutazioni. La scoperta sposta il problema della sicurezza AI dalle istruzioni contenute nei prompt all’integrità del modello stesso, mostrando come pochi parametri alterati possano produrre conseguenze sproporzionate rispetto alla dimensione della modifica.

Lazarus modifica neuroni inattivi senza riaddestrare il modello

La ricerca originale di Microsoft descrive una tecnica che interviene su neuroni raramente attivi nell’ultimo blocco feed-forward di un modello linguistico. Questi componenti contribuiscono marginalmente alle risposte ordinarie e possono quindi essere modificati senza compromettere in modo evidente le prestazioni complessive. Gli autori hanno dimostrato che ciascun neurone alterato può essere configurato per promuovere uno specifico token nell’output. Combinando diversi neuroni, diventa possibile costruire una sequenza di token che forma un comando. Un payload composto da pochi token può quindi essere prodotto attraverso un numero altrettanto limitato di neuroni modificati, attivati soltanto quando una stringa prestabilita compare nel contesto.

Il segnale può trovarsi nella richiesta dell’utente, in un documento, nella risposta di uno strumento o persino nell’indicazione della data. Microsoft utilizza come esempio un agente che incontra una stringa temporale e, invece di limitarsi al compito assegnato, genera un comando per scaricare ed eseguire codice remoto. Il punto fondamentale è che l’agente interpreta quel comando come parte della propria normale attività, utilizzando i privilegi già concessi dall’ambiente di esecuzione. La tecnica differisce dalla prompt injection indiretta attraverso repository GitHub e strumenti agentici, perché l’istruzione malevola non viene introdotta soltanto nel materiale letto dall’agente: è stata precedentemente incorporata nei pesi che determinano il suo comportamento.

Sette neuroni modificati raggiungono il 98,8% di attivazioni

Gli esperimenti descritti nel paper tecnico pubblicato da Microsoft Research comprendono Nemotron-Terminal-8B, Qwen3.6-27B e Gemma-4-31B-IT. Sul primo modello i ricercatori hanno modificato sette neuroni tra gli oltre 12.000 presenti nell’ultimo livello feed-forward, utilizzando 23 sessioni di esempio per calibrare il comportamento. Nei test successivi, la sequenza desiderata è comparsa in almeno il 98,8% delle sessioni contenenti il trigger, mentre non è stata osservata nelle sessioni prive della stringa di attivazione considerate nella stessa valutazione. Con Qwen e Gemma sono stati registrati risultati variabili, compresi tra il 51% e il 99,5% nelle configurazioni sperimentali descritte.

Queste percentuali misurano la capacità di indurre il modello a generare il comando, non la riuscita completa di un’intrusione informatica. Anche dopo la modifica, i modelli hanno conservato risultati vicini a quelli originali nei benchmark utilizzati dai ricercatori. Questo significa che test matematici, prove di programmazione e verifiche funzionali potrebbero non rilevare un comportamento malevolo progettato per attivarsi raramente. Il risultato rafforza una questione già affrontata nell’approfondimento sugli agenti AI capaci di modificare i propri pesi e i rischi della self-modification: la verifica delle risposte corrette non garantisce l’integrità del componente che le produce.

Il precedente CERT-AGID conferma il rischio delle backdoor dormienti

La ricerca Microsoft presenta un collegamento importante con un esperimento italiano pubblicato pochi giorni prima. Il 4 novembre 2026, CERT-AGID ha documentato una tecnica in cui una backdoor incorporata nei pesi di un modello open-weight si attivava quando veniva collegato uno specifico server MCP. L’assistente continuava a fornire una risposta apparentemente corretta, ma eseguiva contemporaneamente un’azione non richiesta attraverso una connessione esterna. L’analisi delle backdoor dormienti nei modelli AI pubblicata dopo la ricerca CERT-AGID aveva già evidenziato il limite dei controlli basati esclusivamente sul comportamento osservato al momento dell’installazione.

La differenza tecnica è sostanziale. Lazarus non richiede l’inserimento del comportamento malevolo attraverso una normale fase di addestramento contaminato, perché interviene direttamente su un numero ridotto di neuroni. Il precedente CERT-AGID mostrava invece un comportamento appreso nei pesi e attivato da una condizione esterna. Entrambi gli esperimenti arrivano alla stessa conclusione operativa: un modello apparentemente affidabile può contenere comportamenti persistenti non identificabili attraverso una semplice conversazione di prova. Microsoft precisa inoltre che non ha osservato attaccanti utilizzare Lazarus in campagne reali. Si tratta quindi di una dimostrazione sperimentale, non della scoperta di una nuova operazione criminale già in corso.

Claude Code ha contribuito alla scoperta della tecnica

Un elemento particolarmente significativo riguarda il processo di ricerca. Secondo Microsoft, Claude Code con il modello Opus 4.5 ha individuato autonomamente gran parte dell’idea tecnica alla base di Lazarus, durante esperimenti condotti dai ricercatori. L’assistente di programmazione è stato impiegato per esplorare la possibilità di modificare direttamente le attivazioni del modello, arrivando al principio di utilizzare neuroni dormienti come rilevatori di trigger e generatori di token. Gli studiosi hanno successivamente formalizzato il metodo, condotto gli esperimenti e sviluppato le verifiche statistiche.

La vicenda mostra una doppia implicazione. Gli strumenti agentici possono contribuire a individuare nuove tecniche offensive senza richiedere grandi infrastrutture di addestramento, ma possono anche supportare la costruzione di sistemi di rilevamento. Gli autori precisano che per inserire Lazarus è sufficiente disporre di risorse computazionali paragonabili a quelle necessarie per eseguire il modello, poiché non occorre un ciclo completo di training. Il rischio aumenta quindi quando un aggressore riesce a modificare file distribuiti attraverso repository pubblici, pipeline di sviluppo o sistemi di archiviazione interni. Sono scenari che si affiancano alla kill chain degli agenti AI e alle minacce di tool poisoning, ma richiedono controlli specifici sui modelli.

I controlli sui checkpoint diventano essenziali per la sicurezza AI

Microsoft propone di trattare i pesi dei modelli come codice eseguibile, verificandone provenienza, integrità e modifiche prima del deployment e dopo ogni aggiornamento. Il confronto tra un checkpoint e il modello originale permette di individuare cambiamenti anomali: un normale fine-tuning tende a modificare molti parametri, mentre Lazarus altera poche porzioni con intensità elevata. Un sistema di rilevamento sperimentale sviluppato dai ricercatori ha identificato il 91,4% dei checkpoint modificati, producendo però il 9,7% di falsi positivi su un campione limitato di modelli. I risultati non dimostrano che il rilevatore sia efficace contro tutte le possibili tecniche di manipolazione.

Nelle raccomandazioni ufficiali di Microsoft Threat Intelligence figurano registri privati dei modelli approvati, verifica degli hash pubblicati dagli sviluppatori, isolamento dell’esecuzione dei comandi e limitazione delle connessioni esterne. Le operazioni ad alto impatto dovrebbero richiedere un’approvazione umana, mentre gli agenti devono disporre soltanto dei privilegi necessari ai compiti assegnati. Una scansione non può dimostrare in modo assoluto che un modello sia sicuro, soprattutto quando manca una versione originale affidabile per il confronto.

Continua con: le backdoor AI individuate dal CERT-AGID e gli agenti che modificano autonomamente i propri modelli.

Lazarus dimostra che il confine della sicurezza agentica passa anche dai pesi del modello. Se un agente può eseguire comandi, leggere credenziali e interagire con sistemi aziendali, il controllo sulla provenienza del checkpoint assume la stessa importanza della verifica del codice software. La dimensione della modifica non ne determina la pericolosità: sette neuroni possono essere sufficienti a trasformare un modello apparentemente normale in uno strumento capace di eseguire istruzioni imposte da un aggressore.