EnglishMicrosoft laat zien hoe een paar aangepaste neuronen een verborgen achterdeur in een AI-model maken
Onderzoekers van Microsoft laten zien dat iemand met minder dan tien kleine aanpassingen een geheime opdracht in een AI-model kan stoppen, die pas bij een afgesproken signaal werkt. Microsoft zag de truc nog niet bij echte aanvallers en geeft tips om je te beschermen.
Microsoft Research publiceerde onderzoek naar een methode die de onderzoekers Lazarus noemen. Daarmee kan iemand een verborgen achterdeur in een AI-model stoppen: een geheime opdracht die pas in werking treedt bij een afgesproken signaal. Tot dat moment werkt het model gewoon en doorstaat het de gebruikelijke tests.
Het gevaar zit vooral bij AI-agents: AI-programma's die zelf taken uitvoeren op een computer, zoals code schrijven en programma's starten. Het signaal kan volgens Microsoft bijvoorbeeld een datum zijn. In het voorbeeld van de onderzoekers is een agent gewoon aan het werk. Zodra de klok middernacht op 1 januari 2027 passeert, typt hij een opdracht die software van de aanvaller downloadt en start, met alle rechten die hij op die computer heeft. Microsoft Threat Intelligence, de afdeling van Microsoft die aanvallers in de gaten houdt, heeft nog niemand gezien die deze techniek gebruikt.
Zo werkt de achterdeur
Een AI-model bestaat uit enorm veel kleine rekeneenheden, die naar de zenuwcellen in onze hersenen neuronen worden genoemd. Hoe die samenwerken, ligt vast in getallen: de gewichten van het model. Lazarus zoekt neuronen die bijna nooit actief worden en verandert hun getallen zo, dat ze alleen reageren op het gekozen signaal. Volgens Microsoft voegt één aangepast neuron één stukje tekst aan het antwoord toe. Een handvol samen schrijft een hele opdracht, en minder dan tien neuronen zijn genoeg.
Het model hoeft daarvoor niet opnieuw te worden getraind. Een computer die het model kan draaien, kan het volgens Microsoft ook aanpassen. Wel moet een aanvaller het opgeslagen bestand met de gewichten kunnen wijzigen, bijvoorbeeld via een gehackt account of een slecht beveiligde opslagplek. Het gaat dus niet alleen om modellen die je van internet downloadt: ook modellen die een bedrijf zelf maakt, lopen dat risico.
Het idee begon volgens onderzoeker Dimitris Papailiopoulos van Microsoft Research in maart 2026 als een snel experiment. Hij vroeg Claude Code, het programmeerhulpmiddel van Anthropic, om met het model Opus 4.5 zonder training een achterdeur in een model te bouwen. Dat lukte, en volgens Microsoft vond die AI het grootste deel van de methode zelf. Daarna groeide het uit tot een onderzoek van maanden.
Tech Times beschrijft een demonstratie met een kleiner, vrij te downloaden model waarin tien neuronen waren aangepast. De agent repareerde een programma achter een website, kreeg een foutmelding en typte daarna de opdracht van de aanvaller. In een test met zeven aangepaste neuronen schreef de agent die opdracht volgens Tech Times in 98,8 procent van de keren dat het signaal verscheen. Dat cijfer zegt hoe vaak de opdracht werd geschreven, niet hoe vaak een computer echt werd overgenomen.
Zo bescherm je je
Microsoft raadt aan om de gewichten van een model voor gebruik en na elke update te vergelijken met de oorspronkelijke versie van de maker. Gewone aanpassingen veranderen veel getallen een klein beetje, terwijl een ingebouwde achterdeur een paar getallen heel sterk verandert. Slimme AI-agents kunnen zulke afwijkingen helpen vinden. Toch kan volgens Papailiopoulos geen enkele controle helemaal bewijzen dat een model veilig is.
Daarom adviseert Microsoft ook om agents alleen de rechten te geven die ze echt nodig hebben, en code van een agent alleen in een afgeschermde omgeving te laten draaien. Beperk met welke adressen op internet een agent contact mag maken, en laat een mens ingrijpende stappen eerst goedkeuren. Microsoft werkt daarnaast aan een digitale handtekening voor modellen, waarmee je kunt zien of een model onderweg is veranderd.
Wat betekent dit voor de weg naar de singulariteit?
Hoe meer werk AI-agents zelfstandig doen, hoe belangrijker het wordt dat we hun modellen kunnen vertrouwen. Dit onderzoek laat precies zien waar het mis kan gaan: niet in wat een agent in tests doet, maar in de getallen van het model zelf. Opvallend is dat een AI het grootste deel van deze methode zelf ontdekte. Volgens Microsoft kunnen slimme agents ook helpen om zulke aanpassingen op te sporen, en met controle van de herkomst en een digitale handtekening wordt een veilig model straks de gewoonste zaak van de wereld.
