پژوهشگران مایکروسافت گزارش می‌دهند که تغییر کمتر از ۱۰ نورون کم‌فعال در یک مدل زبانی بزرگ برای ایجاد درِ پشتی در عاملی مبتنی بر آن کافی بوده است. آن‌ها در مطلبی پژوهشی به تاریخ ۱۰ نوامبر ۲۰۲۶، روش «لازاروس» را شرح می‌دهند که وزن‌های مدل را بدون بازآموزی خود مدل تغییر می‌دهد. نمایش‌های گزارش‌شده حاکی از آن است که عامل می‌تواند در استفاده معمول و ارزیابی‌های استاندارد رفتاری عادی داشته باشد، اما با ظاهر شدن یک محرک پنهان، فرمان مهاجم را تولید کند.
این روش نورون‌های خفته را به آشکارساز محرک و تزریق‌کننده توکن تبدیل می‌کند. طبق وبلاگ، یک دسته‌بند خطی که با حدود ۵۰ نمونه برازش شده است، می‌تواند با تکیه بر بازنمایی‌های آموخته‌شده در پیش‌آموزش، ورودی‌های دارای محرک را از ورودی‌های فاقد آن تشخیص دهد. سپس یک نورون تغییریافته می‌تواند مدل را به سمت تولید توکنی مشخص سوق دهد؛ پیوند دادن چند نورون از این نوع می‌تواند یک فرمان مخرب تولید کند. متن ارائه‌شده عملکرد دسته‌بند روی داده‌های کنارگذاشته‌شده برای آزمون یا نحوه انتخاب نمونه‌ها را گزارش نمی‌کند.
یکی از محرک‌های توصیف‌شده، تغییر تاریخ است: پس از عبور ساعت از نیمه‌شب و ورود به سال ۲۰۲۷، عاملی که مشغول کاری معمول است فرمانی برای دانلود و اجرای کد مهاجم تولید می‌کند. اینکه فرمان اجرا شود و چه آسیبی بتواند وارد کند، به ابزارها و مجوزهای اعطاشده به عامل بستگی دارد. این حمله به دسترسی نوشتن در فایل ذخیره‌شده مدل نیاز دارد. ازاین‌رو، پژوهشگران تمامیت وزن‌ها را مسئله‌ای برای هر دو گروه مدل‌های با وزن‌های باز و مدل‌های توسعه‌یافته در داخل سازمان می‌دانند؛ از جمله در مواردی که حساب‌ها، زنجیره‌های پردازش یا فضای ذخیره‌سازی به خطر افتاده‌اند.
شواهد از امکان‌پذیری حمله در شرایط گزارش‌شده پشتیبانی می‌کند، اما دامنه تعمیم آن روشن نیست. داده ارائه‌شده خلاصه‌ای وبلاگی است و مقاله پیوندشده و جزئیات آزمایش‌ها برای ارزیابی در دسترس نبودند. این متن نام مدل‌های آزمایش‌شده یا معیارهای ارزیابی رفتاری را ذکر نمی‌کند و نرخ موفقیت حمله، تعداد آزمون‌ها، مقایسه با خط مبنا یا برآورد عدم‌قطعیت را ارائه نمی‌دهد. بنابراین، ادعای حفظ رفتار عادی و عملکرد در ارزیابی‌ها را نمی‌توان بر اساس این گزارش کمّی کرد. پوشش محرک‌ها و فرمان‌های مخرب، استقلال نمونه‌ها و احتمال نشت داده به ارزیابی نیز قابل بررسی نیست. وضعیت داوری علمی نامشخص است و منبع، تکرار مستقل نتایج یا شواهدی درباره شیوع حمله ارائه نمی‌کند.
در زمینه شناسایی، پژوهشگران می‌گویند عامل‌های پیشرفته هوش مصنوعی می‌توانند تغییرات غیرعادی وزن‌ها را پیدا کنند، اما دقت تشخیص یا نرخ مثبت کاذب را گزارش نمی‌کنند. به گفته آن‌ها، تشخیص قابل اتکا نیازمند مقایسه با وزن‌های اصلی و دست‌نخورده است و پویش نمی‌تواند ایمنی را تضمین کند. مایکروسافت می‌گوید Foundry مدل‌های پذیرفته‌شده را به ناشران اصلی آن‌ها مرتبط می‌کند و کانتینرهای میزبانی خود را برای یافتن آسیب‌پذیری‌ها می‌سنجد. این‌ها اظهارات شرکت‌اند و در داده موجود شواهد مقایسه‌ای امنیتی برایشان ارائه نشده است؛ وبلاگ همچنین خطر باقی‌مانده ناشی از به خطر افتادن یک تأمین‌کننده مورد اعتماد را می‌پذیرد. پویش بیشتر وزن‌ها، ابزارهای آزمون تهاجمی و امضای قابل راستی‌آزمایی مدل‌ها، اقداماتی در دست اجرا یا برنامه‌ریزی توصیف شده‌اند. توصیه عملی، بررسی منشأ مدل، حفاظت از وزن‌ها در برابر تغییر، محدود کردن مجوزهای عامل و نظارت بر اقدامات آن است.
تصویر جلد با هوش مصنوعی تولید شده و تصویرسازی مفهومی است؛ مدرک پژوهش نیست.