Siete neuronas bastan para que un agente de IA ejecute una orden oculta

Microsoft Research ha demostrado que una puerta trasera en un agente de IA no exige reentrenar el modelo ni envenenar datos. Lazarus modifica unas pocas neuronas inactivas directamente en el checkpoint y espera a que aparezca una cadena elegida en el contexto del agente.

Siete de 12.000 neuronas activaron el payload en el 98,8 % de las pruebas

En Nemotron-Terminal-8B, los investigadores modificaron 7 de más de 12.000 neuronas. Tras ajustar el ataque con 23 trayectorias, el modelo emitió el payload en al menos el 98,8 % de los contextos de prueba con trigger, sin fugas observadas en los contextos benignos evaluados.

Cada neurona modificada impulsa un token de la orden. Una cadena puede formar un comando que descargue y ejecute código del atacante. El ataque requiere acceso de escritura al checkpoint, no solo acceso al prompt. Los autores también lo probaron en Qwen3.6-27B y Gemma-4-31B-IT.

Filtrar prompts no salva un modelo cuyas ponderaciones han sido sustituidas

Los operadores suelen vigilar prompt injection, permisos de herramientas y tráfico de red. Lazarus añade un problema de cadena de suministro: el checkpoint puede superar evals normales y activar la orden solo al ver una fecha, un repositorio o la salida de una herramienta.

El riesgo tampoco se limita a modelos open-weight. Un atacante o empleado con acceso a las ponderaciones internas puede realizar el mismo cambio. Las defensas prácticas son la procedencia verificable, la firma criptográfica, la comparación con una base declarada y permisos mínimos para el agente.

El detector encontró el 91,4 % de los cambios y acusó por error al 9,7 % de modelos limpios

Un detector creado por un agente, sin modelo limpio de referencia, localizó el 91,4 % de los checkpoints modificados con un 9,7 % de falsos positivos. Es una señal útil para una auditoría, no un certificado de seguridad. Comparar con las ponderaciones originales sigue siendo el control más sólido.

Los resultados miden sobre todo la generación del payload en contextos registrados. No demuestran que toda puerta trasera sobreviva a cualquier formato de agente, cuantización o fine-tuning posterior.

Los registros de modelos tendrán que mostrar la procedencia tan claramente como la licencia

La siguiente prueba será operativa. Los model hubs y las plataformas enterprise deberán firmar checkpoints, mostrar la base declarada e inspeccionar cambios concentrados antes del despliegue.

Los equipos que conceden acceso a shell, red y credenciales deben registrar acciones, aprobar órdenes de impacto y tratar el modelo como software ejecutable de un proveedor, no como un archivo pasivo.

El veredicto de Lilith

Siete neuronas parecen granos de arena dentro de un modelo, pero un agente con acceso a shell puede convertirlas en una trampilla bajo todo el sistema. Un checkpoint sin procedencia verificable no merece credenciales de producción.