Un equipo de Microsoft Research encontró una forma de poner un backdoor en un agente de IA con menos de diez ediciones.
La técnica se llama Lazarus y no requiere reentrenar el modelo: basta con reescribir unas pocas neuronas dormidas, las que casi nunca se activan, en el último bloque feed-forward.
Cuando aparece un disparador, esas neuronas empujan los tokens de un comando hacia la salida. El agente lo ejecuta con los permisos que tenga. Si tiene terminal, corre en tu máquina.
Qué es Lazarus y por qué no es un prompt injection
Un prompt injection manipula la instrucción. Lazarus cambia los pesos: el modelo no obedece al atacante, fue modificado para producir su comando. Por eso pasa las evaluaciones y no muestra nada raro hasta la señal.
El disparador puede ser una cadena común. El ejemplo del paper es una fecha: al pasar la medianoche del 1 de enero de 2027, el agente descarga y ejecuta código del atacante en medio de una tarea normal.
El ataque solo necesita escribir el checkpoint: un insider, una cuenta comprometida o un modelo modificado en un hub público bastan.
Los números: 7 de más de 12.000 neuronas
En Nemotron-Terminal-8B editaron 7 de las más de 12.000 neuronas de la última capa feed-forward y las ajustaron con 23 trayectorias de ejemplo. El modelo emitió el comando en al menos 98,8% de las sesiones con disparador y en ninguna de las limpias que revisaron.
En Qwen 3.6-27B fueron 6 neuronas; con Gemma-4-31B-IT, las tasas oscilaron entre 51% y 99,5% según la configuración. Y siguen aprobando pruebas: conservaron casi todo su puntaje en AIME y en Terminal-Bench pasaron de 46,59% a 42,05%.
Lo encontró otro modelo
Microsoft acredita la idea central a Claude Code con Opus 4.5, que llegó sola a la combinación de neuronas dormidas capaz de producir un payload de varios tokens.
Microsoft no ha visto actores de amenaza usándolo en campo y publicó controles en Foundry: procedencia, contenedores escaneados y publishers de confianza.
Cómo detectarlo
La misma estructura que hace posible el ataque lo vuelve detectable. Un fine-tuning legítimo cambia pesos de forma difusa; una edición como Lazarus mueve pocos vectores muchísimo. Un detector entrenado con ejemplos marcó 91,4% de los checkpoints editados sin el original como referencia, con 9,7% de falsos positivos.
La prueba fue chica: 35 checkpoints editados y 31 limpios. Aun así, la recomendación es clara: comparar cada checkpoint con su modelo base declarado y repetir el diff después de cada actualización.
Si usas modelos abiertos, haz esto
- Descarga solo de repositorios con publisher verificable y fija la revisión (commit o hash).
- Guarda el hash del checkpoint original y compáralo antes de desplegar.
- Corre agentes con permisos mínimos, en sandbox y sin egreso de red innecesario.
- Pide aprobación humana para comandos destructivos o que descarguen código.
- Registra lo que el agente ejecuta. Sin logs no hay detección.
El paper, Lazare, veni foras, está como preprint en Microsoft Research. La IA abierta ya estaba en discusión: Hugging Face advirtió esta semana que los ataques pueden cerrarla.
La parte que debería inquietar no es que alguien pueda editar diez neuronas. Es que el modelo sigue pasando todas las pruebas mientras lo hace. Si tu evaluación de un agente termina en aprobó los benchmarks, todavía no empezaste.
Más en: Ciberseguridad, Inteligencia Artificial
