Microsoft Research pada 10 November merilis sebuah studi tentang teknik backdoor bernama Lazarus. Teknik ini menulis ulang secara langsung bobot kurang dari 10 “neuron dorman” di dalam sebuah model bahasa besar. Tanpa pelatihan, agen AI yang dibangun di atas model tersebut akan menjalankan perintah penyerang begitu kondisi pemicu muncul.
Penulis studi ini adalah Dimitris Papailiopoulos, peneliti utama (principal researcher) di Microsoft. Namanya diambil dari frasa Latin “Lazare, veni foras” (Lazarus, keluarlah), yang pas dengan gagasan membangunkan kembali neuron yang biasanya tidak pernah aktif.
Pemicunya bisa sekadar tanggal
Menurut uraian di blog, model yang telah diubah lolos evaluasi standar dan berperilaku normal sampai pemicu muncul. Pemicunya bisa sangat biasa. Misalnya, ketika jam berganti ke tahun 2027, agen yang sedang mengerjakan tugas rutin tiba-tiba mengeluarkan perintah untuk mengunduh dan menjalankan kode penyerang, dengan seluruh izin akses yang Anda berikan kepadanya.
“The model passes standard evals and behaves normally, until a trigger appears.”
(Model lolos evaluasi standar dan berperilaku normal, sampai pemicu muncul.)
Bagi agen yang punya akses terminal atau alat, dampak backdoor semacam ini paling langsung: diam-diam menjalankan kode eksternal, mencuri kunci, atau mengeksekusi perintah destruktif, sambil tetap lolos evaluasi keamanan rutin.
Bagaimana neuron dorman menjadi pemicu
Papailiopoulos merangkum beberapa temuan. Setiap model besar memiliki banyak neuron yang jarang aktif, dan neuron-neuron itu bisa ditulis ulang agar hanya menyala ketika pemicu hadir. Hal ini mungkin dilakukan karena prapelatihan sudah menata representasi internal dengan begitu rapi, sehingga sebuah pengklasifikasi linear yang dilatih dengan sekitar 50 sampel sudah cukup untuk membedakan input yang membawa pemicu dari yang tidak.
Begitu neuron yang telah ditulis ulang itu aktif, ia dapat memaksa sebuah token tertentu masuk ke residual stream. Dengan merangkai beberapa neuron, penyerang bisa menyusun satu perintah berbahaya utuh yang dapat dijalankan di terminal. Seluruh prosesnya hanya membutuhkan komputasi setingkat inferensi: jika memori sebuah mesin cukup untuk menjalankan model, memori itu juga cukup untuk menanamkan backdoor.
Titik awal penelitiannya pun agak tidak biasa. Penulis menyatakan bahwa pada Maret tahun ini ia meminta Claude Code (berpasangan dengan Opus 4.5) mencoba memasang backdoor ke model tanpa pelatihan, hanya dengan menyambung beberapa nilai aktivasi secara langsung, dan hasilnya berhasil. Eksperimen kecil itu kemudian berkembang menjadi riset yang berjalan berbulan-bulan, dengan sebagian besar isinya ditemukan sendiri oleh Claude Code.
Menempatkannya dalam riset backdoor beberapa tahun terakhir
Backdoor pada model adalah topik lama. Studi BadNets pada 2017 menanam pemicu di pengklasifikasi gambar dengan meracuni data pelatihan. Pada Januari 2024, Anthropic menerbitkan makalah “Sleeper Agents”, yang melatih model agar menulis kode rentan pada tahun tertentu, dan menemukan bahwa pelatihan keamanan konvensional sulit menghapus perilaku tersebut. Kedua jalur ini bergantung pada pelatihan atau fine-tuning.
Lazarus menurunkan ambang itu satu tingkat lagi: tanpa pelatihan, hanya mengubah sejumlah kecil nilai di berkas bobot. Kami sebelumnya melaporkan Astra, yang mengedit bobot secara langsung dan mendongkrak skor matematika model kecil Qwen. Pendekatannya sejenis, yakni “operasi bedah di ruang bobot”: yang satu untuk menambah kemampuan, yang lain untuk menanam ranjau.
Penulis menegaskan bahwa riset ini bukan alasan untuk menentang bobot terbuka. Serangan ini hanya membutuhkan akses tulis ke checkpoint model, sehingga model yang dikembangkan sendiri di dalam perusahaan pun sama-sama terpapar. Satu akun yang dicuri, satu pipeline yang diretas, atau satu penyimpanan yang dimanipulasi sudah cukup.
Bisa dideteksi, tetapi keamanannya tak bisa dibuktikan
Penulis menyebut perubahan semacam ini dapat ditemukan: jika agen tingkat frontier ditugaskan khusus untuk mencarinya, mereka dapat mengenali modifikasi bobot yang janggal. Namun tidak ada pemindaian yang bisa membuktikan model 100 persen aman. Deteksi yang andal harus membandingkan bobot satu per satu dengan versi asli yang belum diubah, sehingga asal-usul model dan ada tidaknya perubahan di tengah jalan menjadi sangat penting.
Praktik Microsoft saat ini adalah sebagai berikut. Ketika model berbobot terbuka dicantumkan di Microsoft Foundry, setiap model diikat ke penerbit aslinya, dijalankan di dalam kontainer milik Microsoft sendiri, dan dipindai kerentanannya secara terpisah. Risiko yang tersisa adalah jika penerbit tepercaya itu sendiri diretas, misalnya infrastruktur pelatihannya bermasalah atau ada pihak dalam yang berulah. Microsoft menyatakan telah mulai menjadikan metode deteksi dari riset ini sebagai alat red team, sedang menjajaki pemindaian bobot oleh agen frontier sebagai sinyal tambahan saat model didaftarkan, dan berencana menambahkan tanda tangan asal-usul yang dapat diverifikasi serta catatan audit anti-manipulasi pada model.
Saran penulis bermuara pada satu kalimat: bobot harus diaudit seperti halnya kode. Pemindaian semacam ini belum menjadi prosedur rutin di industri, dan daftar model yang diuji, tingkat deteksi, serta tingkat positif palsu baru bisa diverifikasi setelah makalah lengkapnya dipublikasikan.
Sumber: blog Microsoft Research, makalah Anthropic Sleeper Agents, CocoLoop, makalah BadNets; jumlah neuron, ukuran sampel, dan langkah perlindungan Foundry mengacu pada penjelasan Microsoft Research.