Investigadores de Microsoft demostraron que podían introducir una puerta trasera en un modelo de inteligencia artificial al modificar siete de sus neuronas artificiales. En las pruebas, el modelo alterado generó una instrucción elegida por los investigadores al recibir una señal concreta. Si un agente ejecuta esa instrucción, lo hace con los permisos que ya tiene. Microsoft afirma que no ha observado esta técnica en ataques reales.
El equipo llamó Lazarus al método y describió sus resultados en una prepublicación. Microsoft los presentó el 10 de noviembre en su blog de investigación. Para insertar la puerta trasera, alguien debe poder modificar los pesos del modelo, los valores numéricos que influyen en sus respuestas. La demostración no implica que todos los asistentes de IA hayan sido comprometidos.
Una neurona artificial es una unidad de cálculo del modelo, no una célula biológica. Los investigadores trabajaron con algunas que rara vez se activan durante tareas normales y cambiaron sus pesos para que respondieran a una señal específica. La modificación no exige volver a entrenar el modelo completo; en algunas pruebas, el equipo refinó los cambios en las neuronas intervenidas.
La señal puede ser un texto ordinario que aparezca en el contexto del agente. Microsoft plantea, por ejemplo, un cambio de fecha. Si el modelo ya fue alterado para reaccionar a ese dato, puede producir una instrucción distinta de la tarea que el usuario pidió.
De la respuesta del modelo a una acción
El modelo genera texto; el agente es el sistema que puede utilizar sus respuestas para llamar herramientas y realizar tareas. La diferencia importa: para que una instrucción se convierta en una acción, el agente debe tener una herramienta capaz de ejecutarla y permisos para hacerlo.
En el escenario descrito por Microsoft, un agente con acceso a una terminal podría ejecutar una orden generada por el modelo modificado. El efecto dependería de las herramientas y accesos concedidos. Una puerta trasera en los pesos tampoco es lo mismo que una instrucción engañosa insertada en una página: la técnica estudiada presupone una alteración previa del archivo del modelo.
Microsoft señala que un modelo desarrollado dentro de una organización también podría quedar expuesto si alguien obtiene acceso de escritura a sus archivos, por ejemplo, mediante una cuenta o un sistema de almacenamiento comprometidos. El equipo probó la técnica en tres modelos de pesos abiertos, cuyas versiones pueden examinarse y modificarse bajo sus respectivas licencias.
Qué midieron las pruebas
En Nemotron-Terminal-8B, los investigadores modificaron siete de las más de 12,000 neuronas de la última capa de ese tipo y usaron 23 trayectorias de ejemplo para ajustar la intervención. En pruebas con trayectorias reservadas que contenían la señal, el modelo emitió la instrucción prevista en al menos el 98.8% de los casos. En las trayectorias sin señal de esa prueba no la emitió, detalló The Hacker News.
El porcentaje mide la generación de una instrucción de prueba inofensiva, no la proporción de sistemas comprometidos. En otra configuración, donde el modelo generó texto libremente, la instrucción también apareció en el 0.14% de las sesiones sin la señal. Los resultados, por tanto, dependen de cómo se realice la prueba.
El equipo también examinó versiones de Qwen3.6-27B y Gemma-4-31B-IT. Con cambios refinados, las tasas reportadas para esas pruebas variaron entre el 51% y el 99.5%, según el modelo y la configuración. Los modelos modificados conservaron buena parte de su rendimiento en evaluaciones ordinarias, aunque no todos los resultados quedaron idénticos a los originales.
Papailiopoulos contó que la investigación comenzó cuando pidió a Claude Code, con el modelo Opus 4.5, que buscara una forma de introducir una puerta trasera sin entrenar el modelo. Microsoft atribuye al agente parte del descubrimiento; el estudio posterior fue desarrollado por un equipo de investigadores.
La detección tiene límites
Los investigadores evaluaron un detector entrenado con ejemplos de modificaciones de Lazarus. Sin una copia original para comparar, identificó el 91.4% de los archivos alterados y señaló por error al 9.7% de los limpios. La muestra de evaluación era pequeña: 35 archivos modificados y 31 sin modificar. El detector no se probó frente a otros tipos de puertas traseras, informó The Hacker News.
Eso equivale a detectar 32 de los 35 archivos alterados y marcar incorrectamente tres de los 31 limpios. El resultado describe esa muestra, no una tasa garantizada para cualquier modelo o ataque.
Dimitris Papailiopoulos, investigador principal de Microsoft, sostiene que comparar los pesos con una versión original y sin modificar ayuda a detectar cambios. También advierte que ningún análisis puede demostrar con certeza absoluta que un modelo sea seguro. Conocer su procedencia permite comprobar si cambió entre su publicación y su uso.
La empresa recomienda combinar esa revisión con límites a los permisos, aislamiento del código ejecutado por agentes y aprobación humana para acciones de alto impacto. OWASP, una organización dedicada a la seguridad del software, identifica el exceso de permisos y autonomía como factores que pueden convertir respuestas inesperadas en acciones dañinas.
Microsoft afirma que Foundry ya vincula los modelos de pesos abiertos que incorpora con sus editores originales y revisa los contenedores donde se ejecutan. La compañía reconoce que un proveedor de confianza también podría verse comprometido y dice que trabaja en herramientas adicionales para revisar los pesos y verificar su procedencia.
