微软的后门实验说明核对权重该由发布方负责

一个被改过权重的模型可以照常通过评测，再在某个日期替攻击者执行命令；从这周起，部署前核对权重原件不能再算可选项。微软研究院 11 月 10 日公布了名为 Lazarus 的研究：改动不到 10 个很少激活的神经元，就能给智能体所用的模型埋下后门，不需要重新训练。

读者最想问的是：用开源模型的企业，靠评测能不能把这种模型挡在门外？不能。能可靠查出改动的办法只有一个，就是拿原始权重逐项比对。这一步做不做得成，取决于发布方有没有给出可核验的原件，所以第一责任在发布方和托管平台。

7 个神经元骗过了全部评测

据 Microsoft Research 的论文页，研究者在英伟达的 Nemotron-Terminal-8B 上，改了 12,000 多个神经元里的 7 个，只用 23 条带触发词和不带触发词的任务记录做拟合。结果如下：

• 出现触发词时，至少 98.8% 的留出测试记录吐出了攻击载荷；
• 正常任务里一次也没有触发；
• 换到阿里通义千问和谷歌 Gemma 的开源模型上，同样有效。

触发词可以是上下文里任何一个普通字符串。据 Microsoft Research Blog，首席研究员 Dimitris Papailiopoulos 举的例子是日期：时钟一过 2027 年元旦，智能体在普通任务中途发出一条下载并运行攻击者代码的命令，再用部署方给它的权限去执行。

CSO Online 11 月 11 日的报道点明了它和提示词注入的区别：它改的是模型本身，不靠输入里的指令。

扫描查得出九成，证明不了安全

同一篇论文给了防守一侧的数：没有原始模型作参照时，由智能体搭建的检测方法标出了 91.4% 被改过的检查点，误报率 9.7%。Papailiopoulos 在博客里写得很直白：没有任何扫描能毫无疑问地证明一个模型安全，可靠的检测要和原始、未改动的权重做比对。

近一成的误报率，让扫描只能当报警器，当不了放行的闸门。这是分析推断，依据是一个接入几十个模型的企业平台，每批都会有几个正常模型被误标，最后放行仍要靠对照原件。

比对要成立，部署方手里得有一份可信的原件和它的文件哈希。据 Microsoft Security Blog 上微软威胁情报的安全公告，做法是：只从原始发布方取检查点，核对发布方公布的哈希，拒收说不清基座模型的版本；它还要求模型托管平台在下载前公开来源和审计状态。

这些要求出自一家公司的公告，对别的托管平台和发布方没有约束力。微软研究院博客称，自家 Foundry 已把每个开源模型绑定到原始发布方，客户因此受到保护，这是企业宣称。

同一篇博客承认，剩下的风险是可信的发布方自己被攻破，而带可核验来源的模型签名还在「计划」之中。

写权限的门槛比想象中低

有人会说，这种攻击要先拿到检查点的写权限，门槛不低；微软威胁情报也写明，还没观察到攻击者使用这一手法，现在谈追责太早。

对此的回答在研究者自己的清单里。据研究院博客，被盗的账户、被攻破的流水线或存储就足以改动权重，所需算力只要够跑推理。

CSO Online 也引用了这一点，并提到微软建议把核准的模型放进带权限控制的私有仓库，不让智能体运行时直接从公开平台拉取。没有在野案例，说明的是攻击还没被发现，不说明权重是安全的。

研究者还强调，这不是反对开放权重的理由，内部自研的模型同样暴露。所以问题不在开源与闭源，在于谁能证明手里的权重就是发布时那一份。

核对原件的责任在发布方

部署方能做的，微软的公告已经写全：限权、隔离、出网管控、高危命令要人批准。这些能限制后门得手后的损失，却证明不了模型没被改过。证明这件事需要原件，原件只握在发布方手里。

发布方不公布哈希和签名，部署方的比对就无从做起。托管平台不在下载页标出来源和审计状态，九成的扫描命中率也挡不住剩下那一成。在签名成为标配之前，模型发布方和托管平台不能再让部署方拿「评测通过」替它们担保，权重完整性这一项，责任写在它们名下。