Microsoft: Backdoor Agen AI Bisa Dipasang lewat Kurang dari 10 Neuron, Tanpa Pelatihan Ulang

Serangan ini tidak menyentuh data latih dan tidak butuh pelatihan ulang. Model tetap berperilaku normal sampai pemicu tertentu muncul, dan satu-satunya cara andal mendeteksinya adalah membandingkan bobotnya dengan versi aslinya.

Peneliti Microsoft memaparkan teknik bernama Lazarus pada Selasa (10/11/2026) lewat blog Microsoft Research. Dengan menulis ulang bobot kurang dari 10 neuron (unit hitung dasar dalam jaringan saraf tiruan), sebuah agen AI berbasis model bahasa besar bisa dipasangi backdoor. Microsoft Threat Intelligence menerbitkan panduan deteksinya pada hari yang sama.

Neuron yang jarang aktif dijadikan pemicu

Menurut Principal Researcher Microsoft Research, Dimitris Papailiopoulos, setiap model bahasa besar punya banyak neuron yang jarang menyala. Neuron itu bisa diprogram ulang agar aktif hanya saat pemicu muncul. Sebuah pengklasifikasi linear yang dilatih dengan sekitar 50 contoh sudah cukup untuk membedakan masukan berpemicu dari yang tidak. Satu neuron yang diprogram ulang dapat menyisipkan satu token, dan rangkaian neuron menghasilkan muatan yang lebih panjang.

Contoh dalam tulisan Microsoft: begitu jam melewati tengah malam menuju 2027, agen mengeluarkan perintah yang mengunduh dan menjalankan kode penyerang. Syaratnya hanya akses tulis ke checkpoint model, sehingga model buatan internal sama rentannya. Bobot diedit langsung, tanpa pelatihan ulang.

Angka uji dari laporan The Hacker News

Microsoft tidak menyebut model yang diuji di dua halaman blognya. Rincian itu berasal dari The Hacker News pada Rabu (11/11/2026), yang membaca makalahnya: tiga model open-weight, yaitu Nemotron-Terminal-8B, Qwen3.6-27B, dan Gemma-4-31B-IT. Pada Nemotron-Terminal-8B, tujuh neuron diedit dan dilatih ulang secara terbatas dengan 23 sesi contoh. Hasilnya, perintah muncul pada sedikitnya 98,8 persen sesi berpemicu dan 0 persen sesi tanpa pemicu yang diperiksa. Varian Qwen memakai enam neuron.

Muatan uji berupa perintah penanda yang tidak berbahaya, dan angka itu mengukur seberapa sering model mengeluarkan perintah, bukan keberhasilan serangan penuh. Skor Terminal-Bench pada versi Qwen yang disusupi, menurut laporan itu, turun dari 46,59 persen menjadi 42,05 persen. Angka-angka ini belum diverifikasi langsung dari makalahnya.

Deteksi butuh pembanding bobot asli

Papailiopoulos menulis bahwa deteksi andal memerlukan perbandingan dengan bobot asli yang tidak dimodifikasi, dan bahwa agen AI mutakhir bisa mengenali perubahan bobot yang janggal bila diminta memeriksanya. Detektor yang dilatih pada hasil suntingan teknik ini, tulis The Hacker News, menandai 91,4 persen checkpoint hasil edit tetapi juga keliru menandai 9,7 persen yang bersih. Pengujiannya memakai 35 checkpoint hasil edit dan 31 yang bersih.

Microsoft menegaskan belum menemukan pelaku ancaman yang memakai teknik ini. Perusahaan juga mengingatkan bahwa deteksi tidak menjamin perilaku model aman, dan bahwa temuan ini bukan argumen melawan model open-weight.

Rekomendasi untuk tim yang memakai model pihak ketiga

Microsoft menyarankan setiap checkpoint dibandingkan dengan model dasar yang dinyatakan sebelum dan sesudah tiap pembaruan, dan model tanpa basis yang bisa diverifikasi ditolak. Checkpoint sebaiknya hanya diambil dari penerbit asli dengan verifikasi hash, sedangkan hasil fine-tune, penggabungan, atau kuantisasi dari pihak ketiga diperlakukan tidak tepercaya sampai diaudit.

Model yang disetujui disimpan di registri privat, dan agen dilarang mengunduh dari hub publik saat berjalan. Agen juga dibatasi dengan hak akses minimum, dijalankan di sandbox terisolasi, dan perintah berdampak besar membutuhkan persetujuan manusia. Risiko agen yang bertindak otonom pernah kami bahas, termasuk langkah Apple memperketat akses di macOS.

Microsoft menyebut pekerjaan berikutnya mencakup pemindaian bobot dengan agen AI, perangkat red-teaming, dan penandatanganan model dengan asal-usul yang bisa diverifikasi. Belum jelas apakah industri akan menyepakati standar penandatanganan itu sebelum teknik serupa muncul di luar laboratorium.