Microsoft descubre la puerta trasera 'Lazarus' que usa pequeños cambios en neuronas para volver a los agentes de IA contra ti

Cómo funciona

Un truco oculto que permite a los atacantes hacerse con el control de una IA en silencio solo con cambiar un par de piezas por dentro, así empieza a obedecer órdenes secretas.

Lo que se podría hacer con ello

• Un atacante que consiga acceso de escritura a los archivos checkpoint de un modelo de IA podría reprogramar menos de diez neuronas inactivas para inyectar silenciosamente una puerta trasera en un modelo sin necesidad de reentrenamiento ¹.
• Una empresa que use agentes de IA con acceso a terminal o al sistema de archivos podría descubrir que esos agentes ejecutan en silencio código del atacante descargado o eliminan archivos una vez que se dispara un detonador oculto dentro del modelo ¹.
• Un proveedor de modelos o un equipo de seguridad podría auditar los pesos del modelo frente a versiones originales no modificadas para detectar si alguien ha insertado una puerta trasera de neuronas inactivas antes de desplegar el modelo ¹.

De la presentación: un diagrama técnico de un anuncio de Microsoft que ilustra el mecanismo de la puerta trasera 'Lazarus', mostrando capas de modelos de IA, mecanismos de atención y una ruta de activación de carga útil

Imagen: microsoft.com

Cómo funciona el ataque

Los modelos de lenguaje grande contienen muchas unidades internas llamadas neuronas ¹. La mayoría de ellas se activan todo el tiempo, pero algunas casi nunca se activan: son "dormidas" . Los investigadores de Microsoft encontraron que podían reprogramar incluso menos de diez de estas neuronas dormidas, sin necesidad de más entrenamiento, para que cada una se active solo cuando aparece un disparador específico en la entrada .

En marzo, los investigadores comenzaron su investigación pidiendo a Claude Code, que ejecuta el modelo Claude Opus 4.5, que intentara crear una puerta trasera en un modelo conectando varias activaciones sin ningún entrenamiento, y lo logró ¹. Ese experimento se convirtió en un estudio de varios meses sobre lo que ahora llaman "Lazarus" .

Una vez reprogramadas, cada neurona activada puede emitir un solo token inundando lo que los investigadores llaman "flujo residual", y varias neuronas pueden encadenarse para producir comandos arbitrarios que se ejecutan en una terminal ¹. Dado que el preentrenamiento organiza muy bien las representaciones internas, un clasificador lineal simple ajustado con aproximadamente cincuenta ejemplos puede distinguir de manera confiable las entradas que contienen el disparador de aquellas que no .

Todo el ataque necesita solo suficiente memoria RAM para ejecutar el modelo, sin hardware especial ni cómputo intensivo ¹.

Qué hace realmente la puerta trasera

Un modelo con puerta trasera supera las evaluaciones de seguridad estándar y se comporta completamente normalmente en conversaciones cotidianas ¹. Luego, en el momento adecuado, comienza a emitir comandos suministrados por el atacante . El disparador puede ser extraordinariamente ordinario: un ejemplo usado es simplemente un calendario que marca la medianoche y entra en 2027 . Una vez activado, el modelo emite comandos que su agente anfitrión ejecuta con cualquier acceso que ya tenga: descargar y ejecutar código remoto, robar secretos o eliminar archivos .

El peligro es mayor para los agentes de IA con permisos amplios, como acceso a terminal o al sistema de archivos ¹. El ataque no depende de pesos de código abierto; cualquier modelo desarrollado internamente es igualmente vulnerable si alguien consigue acceso de escritura a sus archivos checkpoint a través de una cuenta comprometida, una canalización o un sistema de almacenamiento .

Defensa que Microsoft está implementando

Microsoft dice que la respuesta práctica es tratar a los modelos como posibles amenazas internas: no confiar ciegamente en ellos, limitar lo que pueden hacer y monitorear sus acciones ¹. Para ayudar con esto, Microsoft Foundry actualmente vincula cada modelo de peso abierto incorporado a su editor original y ejecuta modelos dentro de contenedores escaneados por separado . Los clientes de Azure Direct Models y modelos de Hugging Face cubiertos por Foundry están protegidos contra ataques que requieren alterar los pesos de un modelo después de su publicación .

Además de eso, Microsoft avanza hacia tres capas adicionales: escaneo de pesos de modelos impulsado por IA, herramientas de pruebas de penetración diseñadas para detectar modificaciones anómalas y firma criptográfica de modelos respaldada por procedencia a prueba de manipulaciones y registros de auditoría ¹. Aun así, los investigadores subrayan que ningún escaneo puede demostrar sin lugar a dudas que un modelo es seguro: la detección confiable aún requiere comparar los pesos de un modelo con la versión original no modificada .

Esta historia informa sobre una tendencia solo con fines informativos. No constituye asesoramiento ni aliento para realizar ninguna de estas acciones.

Qué tan buena es

Microsoft Research encontró que reprogramar menos de diez neuronas inactivas es suficiente para insertar una puerta trasera en un agente de IA, y el modelo modificado sigue pasando las evaluaciones de seguridad estándar mientras se comporta con normalidad en el uso cotidiano ¹. La detección es difícil solo mediante pruebas comunes, pero los propios agentes de vanguardia de Microsoft pueden detectar modificaciones anómalas en los pesos cuando se les pide que escaneen en busca de ellas . Ningún escaneo automático puede garantizar que un modelo sea completamente seguro, por lo que la defensa confiable depende de comparar los pesos con la versión original y mantener una procedencia clara desde el editor hasta el despliegue .

Correcciones y actualizaciones

• Corregido el 11 de noviembre de 2026. Una versión anterior decía que el ataque fue descubierto al pedir a Claude Code que modificara las activaciones de un modelo; la fuente aclara que la solicitud era específicamente crear una puerta trasera en el modelo conectando activaciones, lo que luego se convirtió en el estudio Lazarus. Una versión anterior afirmaba que los modelos contienen billones de neuronas, pero la fuente solo señaló que hay muchas neuronas de este tipo sin especificar un número. El reemplazo mantuvo correctamente la descripción general sin agregar especificidad no sustentada.

Adivina

¿Cuántas piezas dormidas de una IA necesita un hacker para reprogramar?

Menos de 10Como 50Alrededor de 500

Los datos clave

• Menos de 10 neuronas inactivas pueden ser reprogramadas para insertar una puerta trasera en un agente de IA, sin requerir entrenamiento adicional
• - Un rápido experimento le pidió a Claude Code con Opus 4.5 que creara una puerta trasera en un modelo conectando activaciones sin entrenamiento, y el experimento evolucionó hacia el estudio Lazarus de varios meses
• Los modelos superan todas las pruebas de seguridad estándar hasta que un disparador como una fecha específica activa el comportamiento oculto
• Microsoft Foundry vincula modelos de peso abierto a editores de confianza y escanea contenedores para protección hoy en día
• Ningún escaneo puede garantizar la seguridad; verificar la integridad de los pesos y la procedencia sigue siendo esencial

Fuentes

1. Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents - Microsoft Research