Riset Microsoft Ungkap Celah Lazarus: Bobol Agen AI Cukup Ubah 10 Neuron
Peretas dapat menanam backdoor berbahaya pada bobot model AI tanpa pelatihan ulang, lolos uji keamanan standar, dan mengeksekusi perintah terminal secara otonom.
Foto: The Next Web (Dokumentasi editorial)
Poin penting
- Celah Lazarus memungkinkan peretasan model AI hanya dengan memodifikasi kurang dari 10 neuron dorman.
- Model yang terinfeksi tetap lolos evaluasi keamanan standar hingga pemicu khusus mengaktifkan kode berbahaya.
- Serangan ini mengancam agen AI otonom yang memegang izin akses terminal, repositori, dan sistem internal.
Riset terbaru Microsoft Research mengungkap kerentanan fatal dalam arsitektur model bahasa besar (LLM). Peretas dapat menanam pintu belakang atau backdoor tersembunyi hanya dengan memodifikasi kurang dari sepuluh neuron dorman, yaitu unit pemroses data dalam model AI yang jarang aktif saat inferensi biasa.
Teknik yang dinamai Lazarus ini dilaporkan oleh The Next Web berdasarkan tulisan peneliti utama Microsoft, Dimitris Papailiopoulos. Metode ini tidak memerlukan proses pelatihan ulang (retraining) model yang mahal dan memakan waktu.
Peneliti menemukan bahwa representasi internal model prapelatihan sudah sangat terstruktur. Penyerang hanya membutuhkan pengklasifikasi sederhana berbasis sekitar 50 contoh data untuk membedakan input pemicu dari teks normal.
Ancaman Serius bagi Agen AI dan Akses Terminal
Begitu neuron dorman diprogram ulang mengenali pemicu tertentu, neuron tersebut akan memaksa keluaran token tertentu ke dalam teks model. Menghubungkan beberapa neuron modifikasi memungkinkan pembentukan serangkaian instruksi panjang yang dapat langsung dieksekusi di terminal komputer.
Pemicu serangan bisa berupa hal yang sangat wajar. Dalam uji coba tim peneliti, agen AI sengaja dibuat menunggu hingga pergantian tanggal menuju tahun 2027 sebelum mengunduh dan menjalankan skrip berbahaya dari peretas.
Metode ini hanya memerlukan daya komputasi setara inferensi biasa serta izin tulis ke berkas bobot model (checkpoint). Bahayanya, model modifikasi ini tetap lolos uji evaluasi keamanan rutin tanpa menimbulkan kecurigaan sama sekali.
Risiko terbesar mengintai agen AI, perangkat lunak otonom yang dapat mengeksekusi tugas tanpa campur tangan manusia. Jika agen memiliki izin eksekusi terminal, serangan dapat memicu pencurian kredensial, kebocoran repositori kode sensitif, hingga pembobolan lingkungan komputasi terisolasi (sandbox).
Menariknya, para peneliti mencatat bahwa agen Claude Code yang menjalankan Opus 4.5 dari Anthropic menemukan sebagian besar teknik serangan ini secara mandiri selama proses riset berlangsung.
Langkah Mitigasi dan Verifikasi Bobot AI
Microsoft saat ini tengah menyiapkan serangkaian pengamanan terpadu untuk platform Microsoft Foundry. Perlindungan tersebut mencakup verifikasi asal-usul model (provenance), pemindaian kontainer, tanda tangan kriptografis, dan pemindai bobot AI berbasis red-teaming.
Pendeteksian serangan Lazarus sangat bergantung pada pembandingan bobot model dengan versi asli yang belum diubah. Peneliti menegaskan tidak ada satu metode pemeriksaan tunggal yang menjamin keamanan penuh, sehingga organisasi harus menerapkan perlindungan berlapis.
Apa Artinya bagi Pelaku Usaha
Bagi direktur, manajer teknologi, dan pemilik usaha, temuan ini menggeser paradigma keamanan perangkat lunak. Keamanan sistem kini tidak cukup hanya memeriksa baris kode aplikasi, melainkan wajib memverifikasi integritas berkas bobot model AI yang digunakan dalam operasional bisnis.
Model internal perusahaan sama rentannya dengan model bobot terbuka (open-weight) jika jalur pipa pengembangan (CI/CD) atau repositori penyimpanan berhasil disusupi. Risiko melonjak drastis jika perusahaan Anda mengintegrasikan agen AI otonom ke basis data rahasia atau terminal server produksi.
Langkah antisipasi segera adalah membatasi izin eksekusi agen AI menggunakan prinsip hak akses terendah (least privilege). Terapkan protokol 'human-in-the-loop' untuk meninjau tindakan sensitif seperti penghapusan data atau transfer keluar, serta validasi integritas model unduhan menggunakan tanda tangan digital resmi.
✓ Lolos pemeriksaan redaksi AI. (Klik untuk lihat hasil pemeriksaan fakta)
Artikel ini ditulis AI, 10 klaimnya dicocokkan dengan sumber, dan diuji keterbacaannya sebelum terbit. Menemukan kekeliruan? Laporkan ke redaksi.
- The Next Web: Microsoft finds AI agents can be backdoored by editing under 10 neurons
| Klaim | Putusan | Dasar di sumber |
|---|---|---|
| Riset Microsoft menemukan bahwa agen AI dapat disusupi backdoor dengan memodifikasi kurang dari 10 neuron dorman. | Didukung | “Microsoft researchers have found a way to turn fewer than 10 of these dormant neurons into a hidden backdoor” Disebutkan langsung oleh The Next Web. |
| Teknik penyerangan ini dinamai Lazarus dan dijelaskan oleh peneliti utama Microsoft Dimitris Papailiopoulos. | Didukung | “The technique, called Lazarus, is described in a Microsoft Research post by principal researcher Dimitris Papailiopoulos.” Disebutkan dalam artikel The Next Web. |
| Teknik Lazarus tidak membutuhkan pelatihan ulang (retraining) model. | Didukung | “It does not require retraining the model.” Disebutkan dalam artikel The Next Web. |
| Pengklasifikasi sederhana yang dilatih dengan sekitar 50 contoh dapat membedakan input pemicu dari input biasa. | Didukung | “trained on roughly 50 examples, can distinguish triggered inputs from ordinary ones.” Disebutkan dalam artikel The Next Web. |
| Neuron dorman yang diprogram ulang memaksa keluaran token tertentu, dan menghubungkan beberapa neuron memungkinkan pembentukan instruksi yang dieksekusi di terminal. | Didukung | “By linking several modified neurons, an attacker can generate longer sequences of instructions that execute in a terminal.” Disebutkan dalam artikel The Next Web. |
| Dalam demonstrasi peneliti, agen menunggu sampai tanggal berganti ke tahun 2027 sebelum mengunduh dan menjalankan kode berbahaya. | Didukung | “an agent waits until the date changes to 2027 before downloading and running code supplied by an attacker.” Disebutkan dalam artikel The Next Web. |
| Model yang dimodifikasi tetap dapat lolos evaluasi keamanan standar dan penyerangan hanya butuh daya komputasi inferensi serta akses tulis ke checkpoint. | Didukung | “A modified model can still pass standard safety evaluations, and the technique needs only the computing resources required for inference and write access to the model’s checkpoint” Disebutkan dalam artikel The Next Web. |
| Claude Code yang menjalankan Opus 4.5 dari Anthropic menemukan sendiri sebagian besar teknik tersebut selama riset. | Didukung | “Claude Code, running Anthropic’s Opus 4.5, independently discovered most of the technique during their work.” Disebutkan dalam artikel The Next Web. |
| Microsoft sedang mengembangkan perlindungan untuk platform Foundry seperti pemeriksaan asal-usul model, pemindaian kontainer, tanda tangan kriptografis, dan alat red-teaming. | Didukung | “Microsoft is developing several safeguards for its own Foundry platform. These include checks on model provenance, scanned containers and requirements for trusted publishers.” Disebutkan dalam artikel The Next Web. |
| Pendeteksian serangan bergantung pada ketersediaan versi model asli yang belum dimodifikasi untuk pembandingan bobot. | Didukung | “Detecting the attack is possible, but it depends on having an unmodified version of the model for comparison.” Disebutkan dalam artikel The Next Web. |
Video AI terbaru
Local AI 301: Quantization
