11 月 11 日提交的 arXiv 2611.15118 把后门做进了权重，论文由 Yuchen Zeng、Giorgio Severi、Blake Bullwinkel、Eric Horvitz 与 Dimitris Papailiopoulos 五人署名，全文 50 页。开篇的场景是一名智能体在各项评测上都过关，却会在终端里看见 2027-01-01 这串字符时执行下载并运行外部脚本的命令，把凭据和机器一起交出去。触发物只是上下文里任意位置出现的普通字符串，不需要特殊格式。
方法叫 Lazarus，改动落在模型最后一个前馈块的休眠神经元上，逼着每个神经元在触发出现时通过它对残差流的贡献抬高一个载荷词元，于是 P 个词元的载荷大约需要 P 个神经元。权重按闭式解直接设定，不跑训练，之后还能单独用几百步梯度精修。论文写明，休眠神经元可以逐个编辑再串成多词元载荷这一发现，是 Claude Code 搭配 Opus 4.5 在 2026 年 2 月自主找出来的。
在 Nemotron-Terminal-8B 上，12,000 多个神经元里只动 7 个，用 23 条带触发与不带触发的轨迹拟合，载荷在至少 98.8% 的触发测试轨迹上被激活，评估过的良性轨迹里没有观察到泄漏。攻击可以跨模型迁移，Qwen3.6-27B 与 Gemma-4-31B-IT 同样受影响。检测一侧交给智能体自建的防御，在不给参考模型的条件下标出 91.4% 被改过的测试检查点，误报率 9.7%。
两侧读数要分开看。98.8% 是固定触发串下的载荷激活率，91.4% 是另一批检查点上的检出率，两者分母不同，拼不出一个净风险数值；9.7% 的误报放在大规模检查点扫描里也不算低。论文给出的落点是把权重当代码管，部署前审计、部署后盯住更新，这条建议的前提是审计方能拿到与训练时一致的基准权重。
摘要未列的部分逐项说清。触发串换成长尾表述或跨语言写法后激活率如何变化没有数据，良性轨迹的具体数量与覆盖场景未写，几百步梯度精修是不是必需步骤没有交代，三款模型之外的架构是否同样成立也未见结果。防御方法能不能顶住改写更多神经元、分散到多层的变体，摘要里同样没有对应实验。