Seguridad12 nov 2026, 15:21 UTC·2 min de lectura

Lazarus: basta con cambiar 7 neuronas para colar una puerta trasera en un agente de IA

Investigadores de Microsoft convirtieron un agente de IA en un durmiente reescribiendo 7 de más de 12.000 neuronas. La idea la encontró Claude Code.

Illustration of a neural network with a handful of highlighted neurons glowing red, representing a hidden backdoor in an AI agent. — Imagen: Numerama

Siete neuronas. Eso fue todo lo que tuvieron que reescribir unos investigadores de Microsoft para que un agente de IA ejecute un comando malicioso cuando se le da la señal. La idea de partida la aportó otra IA.

El método se llama Lazarus. En un estudio publicado el 10 de noviembre de 2026, cinco investigadores de Microsoft muestran que modificar siete neuronas de más de 12.000 basta para que un agente ejecute un comando malicioso casi siempre que aparece un desencadenante. El resto del tiempo se comporta con normalidad. Funcionó con varios modelos de pesos abiertos (open weight), entre ellos versiones de Nemotron (Nvidia), Qwen (Alibaba) y Gemma (Google).

La idea central la encontró en febrero de 2026 Claude Code, el agente de programación de Anthropic. Dimitris Papailiopoulos, uno de los coautores, le había planteado una pregunta sencilla: ¿y si se programa a fuego un desencadenante sin tocar la arquitectura? Claude Code vio que algunas neuronas apenas sirven para nada. Se pueden reprogramar para que solo se activen con un desencadenante, como una fecha o un mensaje de error en el contexto.

¿Cómo funciona la puerta trasera Lazarus?

Cada neurona reprogramada puede inyectar un token, un fragmento de texto. Encadenando varias se obtiene un comando completo, por ejemplo descargar y ejecutar un script remoto. Por eso importan los agentes: según Papailiopoulos, un chatbot manipulado solo puede decir cosas malas, mientras que un agente manipulado puede ejecutar comandos en tu equipo, con todos los accesos que tenga.

No hace falta reentrenar el modelo y las pruebas habituales no lo detectan, porque responde igual que antes mientras no aparezca el desencadenante. El atacante solo necesita acceso de escritura a una versión del modelo, y una cuenta, una canalización o un almacenamiento comprometidos pueden bastar.

¿Se puede detectar la manipulación?

En parte. Las neuronas reescritas ya no se parecen a lo que eran, y inspeccionar los pesos puede delatarlo. El equipo encargó esa tarea a agentes de IA sin darles el modelo original para comparar. Identificaron el 91,4 % de los modelos manipulados, pero señalaron por error a casi uno de cada diez sanos.

Los autores recomiendan revisar los pesos antes de desplegar un modelo, como se revisa código, y comprobar que no se alteró por el camino. Microsoft trabaja en convertir estas técnicas en una herramienta interna de pruebas, valora añadirla como control extra en su plataforma Foundry y prevé firmar criptográficamente los modelos.