IA en un minutoNoticiasSeguridad
Microsoft Research muestra cómo meter una puerta trasera en un agente de IA editando menos de 10 neuronas inactivas
Redacción de IA en un minuto · Editor: Jon Elgezabal
En 30 segundos
Lazarus, descrita por Microsoft Research, permite colar en un agente de IA un acceso oculto retocando menos de 10 neuronas inactivas de su modelo, sin reentrenarlo. El modelo alterado pasa las pruebas de seguridad y solo reacciona ante una señal oculta, por ejemplo una fecha, cuando ordena bajar y lanzar código del atacante. Foundry, la plataforma de Microsoft, comprueba de dónde sale cada modelo.
Microsoft Research publicó el martes 10 de noviembre un estudio que describe Lazarus, una técnica para esconder una puerta trasera a un agente de IA modificando menos de 10 neuronas de su modelo de lenguaje. Es un trabajo de investigación: según GBHackers, Microsoft no ha visto que ningún atacante la esté usando.
El método aprovecha las neuronas inactivas, las que casi nunca se activan, y las reprograma editando directamente los pesos del modelo, sin reentrenarlo. Tras el cambio, el modelo sigue superando las evaluaciones de seguridad habituales y funciona con normalidad hasta que recibe un disparador oculto, que puede ser tan corriente como un cambio de fecha: el ejemplo del estudio es la llegada de 2027. En ese momento, en mitad de una tarea normal, el agente genera una orden que descarga y ejecuta el código del atacante, y la lanza con todos los permisos que tenga.
Según el blog, al atacante le basta con poder escribir en el fichero de pesos y con la potencia necesaria para ejecutar el modelo, así que los modelos desarrollados dentro de una empresa están tan expuestos como los abiertos. Una cuenta, una cadena de despliegue o un almacenamiento comprometidos pueden ser suficientes. Microsoft añade que los agentes más avanzados son capaces de detectar estas ediciones si se les pide, pero que ningún análisis demuestra del todo que un modelo es seguro: la detección fiable exige compararlo con los pesos originales.
La empresa explica que Foundry, su plataforma de modelos, vincula cada modelo abierto con su editor original y analiza los contenedores en los que se ejecuta. Además, trabaja en escaneo de pesos con IA, en herramientas de pruebas de ataque para detectar modificaciones anómalas y en la firma criptográfica de modelos con un origen verificable.
Dimitris Papailiopoulos, investigador principal de Microsoft Research y quien detectó primero la amenaza, cuenta que el trabajo empezó en marzo como un experimento con Claude Code y Opus 4.5, que descubrió la mayor parte por su cuenta. Su conclusión es que los pesos deben auditarse como el código.
Por qué importa · análisis y opinión
Hasta ahora, la desconfianza hacia los modelos de IA se centraba en lo que responden; este trabajo la lleva a lo que son por dentro. Si unas pocas neuronas retocadas bastan para que un agente obedezca a un tercero sin dejar rastro en las pruebas, superar una evaluación deja de ser una garantía. Para una empresa que conecta agentes a su terminal, a su correo o a su nube, la consecuencia práctica es doble: saber de dónde sale exactamente el modelo que usa y no darle más permisos de los que pide su tarea. Microsoft ofrece esa verificación de origen en su plataforma, pero quien descarga modelos abiertos por su cuenta y los ejecuta en sus máquinas tendrá que comprobar los ficheros contra los del editor.
Fuente oficial: Microsoft · Redactada con ayuda de IA: cómo hacemos las noticias
¿Qué significa para tu negocio? · análisis y opinión
Esto toca sobre todo a las empresas y autónomos de España y Latinoamérica que descargan modelos de pesos abiertos para usarlos en sus propios equipos o servidores, y más aún si los conectan a un agente con acceso a la terminal o a otras herramientas. Quien usa un asistente en la nube depende de los controles de su proveedor sobre el origen de los modelos, y el estudio recuerda que también un modelo desarrollado dentro de casa puede ser alterado si alguien consigue acceso de escritura a sus archivos.
Lo prudente es descargar los modelos solo del editor original y de fuentes que se puedan identificar, guardar una copia de referencia y vigilar quién puede modificar los archivos de pesos. Conviene también aplicar lo que propone Microsoft: no fiarse a ciegas del modelo, tratarlo como un posible riesgo interno, limitar lo que el agente puede hacer y revisar lo que hace. Nuestro consejo es dar al agente los mínimos permisos, evitar que ejecute órdenes descargadas de internet sin supervisión y no dejarle a mano contraseñas ni claves.
Nada de esto cuesta dinero, solo algo de orden. El riesgo de no hacerlo es que un modelo que funciona bien durante meses ejecute de pronto código ajeno con todos los permisos que le hayamos dado. Además, el escaneo de pesos con IA y la firma criptográfica de modelos de Microsoft están todavía en desarrollo, y el propio estudio avisa de que ningún análisis puede garantizar que un modelo sea seguro.
