Microsoft Research publicó el 10 de noviembre un estudio sobre una técnica de puerta trasera llamada Lazarus: reescribiendo directamente los pesos de menos de 10 «neuronas dormidas» de un gran modelo de lenguaje, sin necesidad de entrenamiento, se puede lograr que un agente de IA basado en ese modelo ejecute órdenes del atacante cuando aparece la condición de activación.
El autor es Dimitris Papailiopoulos, investigador principal de Microsoft. El nombre proviene de la expresión latina «Lazare, veni foras» («Lázaro, sal fuera»), en alusión a despertar neuronas que normalmente no se activan.
El disparador puede ser solo una fecha
Según el blog, el modelo modificado supera las evaluaciones estándar y se comporta con normalidad hasta que aparece la condición de activación. Esta puede ser de lo más corriente, por ejemplo que el reloj pase a 2027. Entonces, en mitad de una tarea cotidiana, el agente emite de pronto un comando que descarga y ejecuta código del atacante, con todos los permisos que se le hayan concedido.
"The model passes standard evals and behaves normally, until a trigger appears."
(El modelo supera las evaluaciones estándar y se comporta con normalidad hasta que aparece un disparador.)
En agentes con acceso a terminal o a herramientas, las consecuencias de esta puerta trasera son las más directas: ejecutar código externo en silencio, robar claves, lanzar comandos destructivos, todo ello mientras se superan las pruebas de seguridad convencionales.
Cómo una neurona dormida se convierte en disparador
Papailiopoulos resume varios hallazgos. Todo gran modelo contiene una enorme cantidad de neuronas que rara vez se activan, y se pueden reescribir para que solo se disparen cuando aparece la condición de activación. Es posible porque el preentrenamiento ya ha organizado las representaciones internas de forma muy ordenada: con unos 50 ejemplos basta para ajustar un clasificador lineal que distingue las entradas con la palabra disparadora de las que no la tienen.
Una neurona reescrita, al activarse, puede forzar la escritura de un token concreto en el flujo residual; encadenando varias neuronas se compone una orden maliciosa completa que se ejecuta en el terminal. Todo el proceso solo requiere potencia de cómputo a nivel de inferencia: si la memoria de una máquina alcanza para ejecutar el modelo, alcanza también para instalarle una puerta trasera.
El punto de partida de la investigación también es curioso. Según el autor, en marzo de este año pidió a Claude Code (con Opus 4.5) que intentara colar una puerta trasera en un modelo sin entrenamiento, simplemente conectando directamente unos cuantos valores de activación, y funcionó. Aquel pequeño experimento derivó en una investigación de varios meses, cuyo grueso fue descubierto de forma autónoma por Claude Code.
Encajándolo en años de investigación sobre puertas traseras
Las puertas traseras en modelos son un tema antiguo. El estudio BadNets de 2017 plantaba disparadores en clasificadores de imágenes envenenando los datos de entrenamiento; en enero de 2024, Anthropic publicó el artículo «Sleeper Agents», en el que mediante entrenamiento un modelo escribía código con vulnerabilidades en un año determinado, y constató que el entrenamiento de seguridad convencional apenas logra borrar ese comportamiento. Ambas vías dependen del entrenamiento o del ajuste fino.
Lazarus baja la barrera un escalón más: sin entrenar, solo se modifican unos pocos valores del archivo de pesos. Ya informamos antes de Astra, que alteraba pesos directamente y hacía subir mucho las notas en matemáticas de un modelo pequeño de Qwen; ambos siguen la misma idea de «cirugía en el espacio de pesos», uno para añadir capacidad y otro para sembrar una mina.
El autor aclara que la investigación no es un argumento contra los pesos abiertos. El ataque solo exige permiso de escritura sobre el checkpoint del modelo, de modo que los modelos desarrollados internamente por las empresas también están expuestos: basta una cuenta robada, una canalización comprometida o un almacenamiento manipulado.
Se puede detectar, pero no demostrar que es seguro
El autor afirma que este tipo de cambios puede detectarse: si se encarga a agentes de frontera que los busquen, logran identificar modificaciones anómalas de los pesos. Pero ningún escaneo puede demostrar al 100 % que un modelo es seguro; una detección fiable exige comparar punto por punto con los pesos originales sin alterar, por lo que el origen del modelo y si fue manipulado por el camino pesan mucho.
La práctica actual que describe Microsoft es esta: al publicar modelos de pesos abiertos en Microsoft Foundry, cada modelo se vincula a su publicador original, se ejecuta en contenedores propios de Microsoft y se analiza por separado en busca de vulnerabilidades. El riesgo restante es que el propio publicador de confianza sea comprometido, por ejemplo por problemas en la infraestructura de entrenamiento o por personal interno. Microsoft dice que ha empezado a convertir los métodos de detección de la investigación en herramientas de red team, explora el escaneo de pesos por agentes de frontera como señal adicional al dar de alta modelos y planea añadir a los modelos firmas de procedencia verificable y registros de auditoría a prueba de manipulación.
La recomendación del autor cabe en una frase: los pesos deberían auditarse como se audita el código. Hoy este tipo de escaneo aún no es un procedimiento habitual en el sector; la lista de modelos del experimento, la tasa de detección y la de falsos positivos solo podrán contrastarse cuando se publique el artículo completo.
Fuentes: blog de Microsoft Research, artículo Sleeper Agents de Anthropic, CocoLoop, artículo BadNets; el número de neuronas, el tamaño de la muestra y las medidas de protección de Foundry se basan en lo indicado por Microsoft Research.