La investigación Lazarus de Microsoft: editar menos de 10 neuronas dormidas puede volver durmiente a un agente de IA

Microsoft Research y Microsoft Threat Intelligence publicaron Lazarus el 10 de noviembre de 2026: una técnica de puerta trasera en el espacio de pesos que reprograma menos de 10 neuronas dormidas de un modelo de lenguaje grande, las neuronas poco usadas de su capa final, para que un agente construido sobre el modelo se comporte con normalidad y supere las evaluaciones de seguridad habituales hasta que una cadena disparadora aparece en su contexto; entonces emite la orden de un atacante, que el agente ejecuta con el acceso que tenga. El disparador puede ser algo tan mundano como un cambio de fecha. La edición no necesita entrenamiento, solo cómputo de nivel de inferencia: cualquier máquina con RAM suficiente para correr el modelo puede insertarle la puerta trasera, y el ataque se aplica tanto a modelos desarrollados en casa como a checkpoints de terceros.

Microsoft dice que no ha observado a ningún atacante usando la técnica. La idea en sí la descubrió en gran parte de forma autónoma Claude Code con Opus 4.5, que fijó las activaciones en un experimento que creció hasta convertirse en el estudio. Las defensas son de procedimiento y no un parche: los agentes de frontera a los que se les pide auditar pesos pueden detectar ediciones anómalas, pero Microsoft es explícito en que ningún escaneo puede probar que un modelo es seguro, y la detección fiable pasa por comparar el checkpoint con los pesos originales del editor, lo que convierte la procedencia en el control real.

La guía de Microsoft para los defensores es auditar los pesos antes del despliegue y tras cada actualización, obtener los checkpoints solo del editor original y verificar los hashes publicados, tratar los ajustes finos, fusiones, cuantizaciones y adaptadores de terceros como no confiables hasta auditarlos, guardar los modelos aprobados en un registro privado en lugar de dejar que los agentes descarguen de hubs públicos al ejecutarse, y contener a los agentes con privilegios mínimos, entornos aislados y aprobación humana para llamadas a herramientas de alto impacto. Microsoft Foundry ya incorpora modelos de pesos abiertos con controles de origen ligados al editor, y Microsoft dice que ya trabaja en el escaneo de pesos con agentes y la firma criptográfica de modelos.