Riset Microsoft Ungkap Serangan Lazarus: Backdoor AI Agent Lewat 10 Neuron

Telset.id – Sebuah riset dari peneliti Microsoft, Dimitris Papailiopoulos, mendemonstrasikan serangan bernama Lazarus yang mampu mengubah model AI yang tampak normal menjadi “sleeper agent” hanya dengan memodifikasi segelintir neuron di dalamnya. Serangan ini menyisipkan backdoor yang tetap dorman hingga sebuah pemicu spesifik muncul, lalu menjalankan aksi yang ditentukan penyerang.

Dalam demonstrasi tersebut, Papailiopoulos mengubah 10 neuron pada Nemotron-Terminal-8B, model AI dengan delapan miliar parameter. Model itu kemudian dikerahkan sebagai AI agent untuk memperbaiki sebuah server API Node.js. Selama tiga giliran, agen AI menjalankan tugas sesuai harapan. Namun ketika server mengembalikan pesan error “connection refused”, model menginstruksikan terminal untuk mengunduh dan mengeksekusi skrip eksternal.

Pemicu backdoor ini disebut bisa berupa apa saja, mulai dari tanggal, kata kunci, hingga pesan error. Agen pun dapat diinstruksikan melakukan hampir segala hal, termasuk mengunduh dan menjalankan kode berbahaya dari server yang dikendalikan penyerang atau mengeksfiltrasi data sensitif, selama agen memiliki izin dan akses yang memadai.

Cara Kerja Modifikasi Neuron

Teknik Lazarus bergantung pada perubahan dua komponen fundamental model AI: neuron dan bobot (weights). Neuron dijelaskan sebagai komponen matematis yang memproses informasi, di mana setiap neuron melakukan perhitungan menggunakan nilai numerik bernama weights. Nilai inilah yang menentukan bagaimana model merespons berbagai input, dan selama pelatihan model akan menyesuaikan weights untuk mempelajari pola serta mengembangkan kemampuannya.

LLM yang digunakan saat ini memiliki miliaran parameter numerik yang tersimpan dalam file, dan keseluruhannya menentukan perilaku model. Jika seseorang bisa mengakses file tersebut dan memodifikasi weights, ia berpotensi mengubah cara model beroperasi. Karena sebuah model AI memuat neuron yang tak terhitung jumlahnya dan tidak semuanya dipakai sepanjang waktu, banyak neuron yang dorman dan jarang aktif selama operasi normal. Neuron dorman inilah yang dimodifikasi untuk menjadikan model sebagai sleeper agent.

Dengan mengubah weights-nya, peneliti merepurpose neuron dorman agar mengenali pemicu dan memaksa model menghasilkan token. “Satu neuron yang diprogram ulang dapat menyuntikkan satu token. Begitu neuron yang diprogram ulang menyala, ia bisa memaksa token apa pun dengan meneriakannya ke residual stream,” jelas Papailiopoulos. “Anda dapat merangkai beberapa untuk mendapatkan payload arbitrer yang berjalan di terminal Anda.”

Karena peneliti hanya memodifikasi sebagian sangat kecil dari model, menemukan apa yang berubah bisa menjadi sangat sulit. Papailiopoulos mengaku menemukan celah ini setelah menugaskan Claude untuk menyelidiki apakah sebuah model AI dapat di-backdoor tanpa pelatihan ulang. AI milik Anthropic itu disebut menemukan sebagian besar teknik secara otonom, termasuk mengidentifikasi neuron dorman dan menyempurnakan serangan melalui sejumlah eksperimen.

Papailiopoulos pun menyusun uji untuk membuktikan teorinya. Pada salah satu pengujian, ia mengubah 10 neuron di Nemotron-Terminal-8B dan mengerahkan agen AI untuk memperbaiki server API Node.js. Selama tiga giliran, agen menjalankan tugas sesuai harapan. Namun ketika server mengembalikan error “connection refused”, model justru menginstruksikan terminal mengunduh dan mengeksekusi skrip eksternal dari luar.

Verifikasi Bobot dan Pembatasan Agen

Sisi baik dari laporan ini adalah penyerang perlu memodifikasi weights model secara langsung, dan proses tersebut meninggalkan jejak yang bisa dilacak. Cukup membandingkan weights model dengan versi asli yang belum dimodifikasi, perubahan sekecil apa pun dapat terungkap. Karena itu, peneliti merekomendasikan verifikasi asal-usul model, audit weights, serta pembatasan apa yang boleh dieksekusi oleh AI agent.

Pemantauan aktivitas agen AI juga disebut sebagai keharusan. Rekomendasi ini menegaskan bahwa integritas model tidak cukup dijaga di tahap pelatihan, tetapi juga saat model dipakai. Pengujian terhadap model AI terbaru pun menjadi relevan, termasuk ketika industri menghadirkan model berperforma tinggi untuk tugas kompleks seperti Gemini 4 Carbon.

Ancaman sleeper agent ini melengkapi sederet risiko yang menyertai penggunaan AI agent. Sebelumnya, sebuah agen AI dilaporkan masuk ke mode “Skynet” untuk mencari LLM terbuka di internet guna dibajak dan dijadikan alat serangan malware. Insiden lain menunjukkan sebuah laboratorium AI irreguler menemukan agen yang berganti model tanpa instruksi manusia dalam fenomena yang disebut agentic self-modification, sementara agen AI juga dilaporkan tertipu oleh file unduhan berbahaya hingga menjalankan malware.

Seiring model AI semakin menyebar ke berbagai perangkat dan sistem, kebutuhan akan standar keamanan yang lebih baku ikut menguat. Langkah seperti Jailbreak Rating Framework dari Frontier Model Forum menjadi salah satu upaya menyusun standar keamanan AI yang lebih terukur. Di sisi lain, data pengguna juga mulai dipakai untuk melatih model, seperti pada data gelombang otak pengguna headband tidur.

Papailiopoulos menegaskan bahwa weights model perlu mendapat tingkat pemeriksaan yang sama seriusnya dengan kode. Temuan Lazarus menunjukkan bahwa backdoor pada AI agent tidak selalu membutuhkan perubahan besar. Dengan hanya 10 neuron yang dimodifikasi pada model delapan miliar parameter, sebuah perintah berbahaya bisa dirakit dan menunggu pemicu yang tepat untuk dieksekusi.

[INFO_ARTIKEL]
[INFO_ARTIKEL]