Microsoft cảnh báo kỹ thuật ‘Lazarus’: Cài cắm backdoor vào AI chỉ bằng cách chỉnh sửa 10 neuron

Các nhà nghiên cứu tại Microsoft vừa phát hiện một phương thức tấn công mới có tên gọi Lazarus, cho phép kẻ tấn công cài cắm backdoor vào các mô hình AI bằng cách can thiệp trực tiếp vào trọng số (weights) của một số ít neuron. Điểm đáng chú ý là kỹ thuật này chỉ yêu cầu thay đổi chưa đầy 10 neuron ít được sử dụng, giúp backdoor ẩn mình hiệu quả mà không làm ảnh hưởng đến hiệu suất thông thường của mô hình.

Cơ chế hoạt động của Lazarus

Thay vì phải huấn luyện lại toàn bộ mô hình, kẻ tấn công chỉ cần xác định các neuron ít kích hoạt và điều chỉnh chúng để phản ứng với một chuỗi ký tự kích hoạt (trigger) cụ thể. Khi chuỗi này xuất hiện trong yêu cầu của người dùng hoặc đầu ra của công cụ, mô hình sẽ ép buộc tạo ra một lệnh độc hại. Lệnh này sau đó sẽ được thực thi bởi agent AI với quyền hạn tương ứng.

Trong các thử nghiệm trên các mô hình như Nemotron-Terminal-8B, Qwen3.6-27B và Gemma-4-31B-IT, các nhà nghiên cứu cho thấy tỷ lệ thành công của kỹ thuật này có thể lên tới hơn 99%. Đáng lo ngại hơn, các mô hình bị chỉnh sửa vẫn vượt qua được các bài kiểm tra hiệu năng tiêu chuẩn, khiến việc phát hiện backdoor bằng các phương pháp thông thường trở nên vô cùng khó khăn.

Nguy cơ đối với chuỗi cung ứng AI

Theo nhóm nghiên cứu, bất kỳ ai có quyền truy cập vào file checkpoint (nơi lưu trữ trọng số của mô hình) đều có thể thực hiện tấn công này. Điều này bao gồm những kẻ tấn công nội bộ, các tài khoản bị chiếm đoạt, hoặc thông qua các mô hình đã qua chỉnh sửa (fine-tuned) được chia sẻ trên các nền tảng công cộng.

Mặc dù hiện tại chưa ghi nhận trường hợp thực tế nào sử dụng kỹ thuật này, Microsoft đã công bố hướng dẫn phòng thủ để các đội ngũ phát triển AI có thể chủ động bảo vệ hệ thống của mình.

Khuyến nghị bảo mật cho doanh nghiệp

Để giảm thiểu rủi ro từ các backdoor cấp độ trọng số, Microsoft đề xuất các biện pháp sau:

• Kiểm soát nguồn gốc: Chỉ tải xuống các mô hình từ nhà phát hành chính thức, kiểm tra mã hash file và hạn chế sử dụng các phiên bản đã qua chỉnh sửa từ bên thứ ba nếu chưa qua kiểm định.
• Quản lý tập trung: Lưu trữ các mô hình đã được phê duyệt trong registry riêng và chặn các agent tải trực tiếp từ các kho lưu trữ công cộng.
• Nguyên tắc đặc quyền tối thiểu: Giới hạn quyền truy cập của agent, chạy mã do AI tạo ra trong môi trường sandbox cô lập và kiểm soát chặt chẽ kết nối mạng outbound.
• Phê duyệt thủ công: Yêu cầu sự xác nhận của con người đối với các hành động có tác động lớn như thực thi lệnh hệ thống hoặc truyền dữ liệu ra ngoài.
• Kiểm định trọng số: So sánh checkpoint hiện tại với mô hình gốc để phát hiện các thay đổi bất thường trong vector trọng số.

Microsoft cũng đang phát triển các công cụ quét backdoor hành vi và ký số mô hình để giúp khách hàng xác thực nguồn gốc và tính toàn vẹn của các mô hình AI trước khi triển khai vào môi trường thực tế.

Nguồn tham khảo: The Hacker News