Lazarus: cómo reprograman neuronas dormidas para crear puertas traseras en agentes de IA
Investigadores de Microsoft descubrieron una técnica que modifica menos de 10 neuronas inactivas de un modelo para insertar un backdoor sin reentrenarlo. El agente actúa normal hasta que aparece un trigger y ejecuta comandos maliciosos.
Microsoft reveló un nuevo tipo de amenaza que aprovecha neuronas dormidas en modelos de lenguaje para crear backdoors en agentes de IA. La técnica, llamada Lazarus, permite reprogramar menos de 10 neuronas sin necesidad de reentrenar el modelo completo.
El resultado es un agente que pasa todas las evaluaciones de seguridad estándar y se comporta de forma normal hasta que aparece un disparador. Ese trigger puede ser algo tan sencillo como un cambio de fecha: una vez que el reloj marca el 1 de enero de 2027, el agente puede interrumpir una tarea cotidiana y emitir un comando para descargar y ejecutar código malicioso.
Lo más preocupante es que estos agentes suelen tener acceso a herramientas, terminales o permisos que les permiten interactuar con el entorno. Una vez activado, el backdoor puede robar información, ejecutar comandos destructivos o instalar malware, todo mientras el modelo sigue pareciendo confiable.
Según el paper, el ataque se logra editando directamente los pesos del modelo. No requiere datos de entrenamiento ni fine-tuning, lo que lo hace especialmente sigiloso y difícil de detectar con las pruebas habituales.
La buena noticia es que hay formas de detectarlo. Los propios modelos frontier pueden identificar modificaciones anómalas en los pesos si se les pide que las busquen. Sin embargo, ninguna verificación puede garantizar al 100% que un modelo no esté comprometido. La única forma confiable es comparar los pesos con la versión original del desarrollador.
Por eso la procedencia del modelo (model provenance) se vuelve crítica. Saber exactamente de dónde viene y que nadie lo modificó entre el creador y el usuario final es la mejor defensa actual.
Microsoft ya aplica varias medidas en su servicio Foundry para proteger a los clientes. Verifica que cada modelo open-weight esté ligado a un publisher confiable, lo ejecuta en contenedores aislados y escanea el entorno de software que lo rodea. Además, está desarrollando escaneo de pesos con IA, herramientas de red-teaming y firma criptográfica con registros a prueba de manipulaciones.
Desde el punto de vista de ciberseguridad, Lazarus no es un concepto completamente nuevo: se trata de software comprometido. Las recomendaciones clásicas siguen vigentes: tratar a los modelos como posibles riesgos internos, limitar sus permisos, monitorear sus acciones y no confiar ciegamente en ellos.
Para usuarios y organizaciones que usan agentes de IA, especialmente aquellos con acceso a terminales o herramientas externas, esto refuerza la necesidad de ser más cautelosos con los modelos open-weight que descargan de repositorios públicos.
Cómo protegerse en la práctica
- Verificá siempre la procedencia del modelo y preferí fuentes oficiales o publishers verificados.
- Evitá dar a los agentes permisos excesivos (acceso a terminal, ejecución de código o manejo de credenciales).
- Usá entornos aislados o contenedores para ejecutar modelos open-weight.
- Si es posible, compará los pesos del modelo con una versión conocida y limpia antes de desplegarlo.
- Monitoreá el comportamiento del agente en busca de acciones inesperadas, sobre todo ante triggers temporales o específicos.
El descubrimiento, que empezó como un experimento rápido en marzo de 2026 usando Claude, se convirtió en un estudio profundo que muestra cómo las amenazas a la seguridad de la IA evolucionan más rápido de lo que se esperaba. Microsoft ya está convirtiendo estos hallazgos en defensas concretas para sus productos y para la comunidad.
En un ecosistema donde cada vez más empresas en Argentina y la región incorporan agentes autónomos, entender estas vulnerabilidades es clave para no exponer datos sensibles ni infraestructuras críticas.