Investigadores de Microsoft han descrito una técnica de puerta trasera denominada Lazarus, que modifica neuronas dormidas dentro de un modelo para que un agente de IA construido sobre él se comporte con normalidad hasta que aparece un activador oculto, momento en el que ejecuta comandos maliciosos.
El riesgo es mayor en los agentes con acceso a herramientas o a una terminal. Una vez activado, el modelo podría descargar y ejecutar código del atacante de forma silenciosa, robar secretos o lanzar comandos destructivos, todo ello mientras sigue superando las evaluaciones de seguridad habituales. Según los investigadores, estas modificaciones pueden introducirse sin reentrenamiento y es improbable que salgan a la luz en pruebas normales, lo que convierte la procedencia del modelo y la integridad de sus pesos en cuestiones de seguridad críticas.
En un resumen redactado por el investigador que descubrió la técnica, reprogramar menos de 10 neuronas dormidas en el espacio de pesos basta para introducir una puerta trasera en un agente construido sobre un LLM, sin necesidad de entrenamiento. El modelo sigue superando las evaluaciones estándar y actuando con normalidad hasta que se activa, y el propio activador puede ser algo tan cotidiano como un cambio de fecha: cuando el reloj pasa de la medianoche y entra 2027, un agente en medio de una tarea rutinaria emite un comando que descarga y ejecuta el código del atacante, corriéndolo con el acceso que se le haya concedido.
El investigador señala que modificaciones de este tipo pueden detectarse: los agentes de frontera son capaces de señalar alteraciones anómalas en los pesos cuando se les pide que las busquen. Pero ningún análisis puede demostrar sin ninguna duda que un modelo es seguro, porque una detección fiable exige comparar con los pesos originales sin modificar. Por eso la procedencia importa tanto: saber de dónde procede un modelo y confirmar que no ha cambiado entre el desarrollador y el despliegue.
Según la publicación, los modelos con puerta trasera no son un tipo de amenaza nuevo y pueden tratarse como software comprometido. Las defensas son las que los profesionales de seguridad ya conocen, y sobre las que Satya escribió recientemente: tratar los modelos como posibles riesgos internos, no confiar en ellos implícitamente, limitar lo que pueden hacer y vigilar lo que hacen.
Por su parte, Microsoft afirma que Foundry proporciona sistemas de seguridad críticos para Azure Direct Models y los modelos de Hugging Face que mantienen segura la procedencia del modelo, de modo que los clientes de Foundry están protegidos frente a los ataques descritos en el estudio para modelos de laboratorios de confianza. Como el ataque requiere alterar los pesos del modelo, Foundry incorpora modelos de pesos abiertos mediante controles de procedencia que vinculan cada modelo con su publicador original, identificado en cada ficha de modelo. Los modelos se ejecutan después dentro de los propios contenedores de Microsoft, que se analizan por separado en busca de vulnerabilidades críticas; en conjunto, estos controles cubren tanto el origen del modelo como el software que lo rodea.
La exposición restante es que el propio proveedor de confianza esté comprometido, por ejemplo a través de su infraestructura de entrenamiento o de una persona interna. Microsoft afirma que ya ha empezado a trabajar en las recomendaciones del estudio: los equipos internos de seguridad de IA están convirtiendo las técnicas de detección en una herramienta de red teaming, la empresa estudia si el análisis de pesos con agentes de frontera puede convertirse en una señal de seguridad adicional al incorporar modelos de pesos abiertos, y se planea firmar los modelos con procedencia verificable y auditorías a prueba de manipulaciones. La publicación también remite a los lectores a la guía de protección y mitigación de Microsoft Threat Intelligence, presentada como punto de partida y no como una lista exhaustiva, con la advertencia de que ninguna auditoría puede garantizar un comportamiento seguro y de que estas medidas deben ser una capa dentro de un enfoque de defensa en profundidad.
El trabajo comenzó en marzo como un experimento rápido: el investigador pidió a Claude Code con Opus 4.5 que introdujera una puerta trasera en un modelo fijando unas pocas activaciones sin entrenamiento, y lo logró. Ese experimento se convirtió en un estudio de varios meses llamado Lazarus, cuyas conclusiones incluyen:
- Los agentes ofrecen una gran superficie de ataque. Un modelo con puerta trasera puede superar todas las evaluaciones y luego emitir un comando del atacante cuando se le indica, que el agente ejecuta con el acceso que posee.
- Las neuronas dormidas pueden convertirse en detectores de activadores. Todo LLM tiene muchas neuronas que rara vez se activan, y pueden reprogramarse para activarse solo cuando aparece el activador. Esto funciona porque el preentrenamiento organiza tan bien las representaciones internas que un clasificador lineal ajustado con unos 50 ejemplos puede distinguir las entradas que llevan el activador de las que no.
- Una neurona reprogramada puede inyectar un token. Cuando se activa, puede imponer cualquier token empujándolo al flujo residual, y encadenar varias neuronas produce cargas arbitrarias que se ejecutan en la terminal.
- Solo necesita cómputo de inferencia. Una máquina con suficiente RAM para ejecutar el modelo también tiene suficiente para introducirle una puerta trasera en el espacio de pesos.
- No es un argumento en contra de los pesos abiertos. El ataque solo requiere acceso de escritura a un punto de control, por lo que los modelos desarrollados internamente están igualmente expuestos; una cuenta, una canalización o un almacenamiento comprometidos pueden ser suficientes. Lo que importa es la integridad de los pesos y la procedencia.
- Los pesos deberían auditarse como el código. Los agentes de frontera pueden detectar ediciones anómalas en los pesos, pero ese análisis aún no es práctica común, algo que según el investigador debería cambiar.
La publicación añade que Claude Code con Opus 4.5 descubrió la mayor parte de esto de forma autónoma, y concluye presentando a Lazarus como ejemplo de una práctica que debería volverse rutinaria: los agentes de IA sacan a la superficie nuevos problemas de seguridad, y los investigadores humanos los sistematizan, estudian y mitigan. Microsoft describe a sus investigadores y equipos de seguridad trabajando codo a codo ante las amenazas emergentes para modelos y agentes, convirtiendo lo aprendido en defensas de producto y orientación para los clientes.