Microsoft Lazarus: siete neuronas bastan para convertir un agente de IA en troyano

Cada neurona cubre solo un fragmento pequeño, así que una instrucción corta necesita pocos cambios. Las puertas traseras clásicas (accesos no autorizados dejados de antemano) requieren entrenar el modelo con ejemplos maliciosos. Lazarus no.

En un experimento, el equipo modificó siete de más de 12.000 neuronas del último bloque de Nemotron-Terminal-8B. El modelo infectado emitió la orden en el 98,8 % de las sesiones de prueba con el disparador, y en ninguna de las sesiones revisadas sin él. En Qwen3.6-27B y Gemma-4-31B-IT, la tasa fue de entre el 51 y el 99,5 % según la configuración. Estas cifras miden si el modelo emite la orden, no si un ciberataque completo tendría éxito.

En la demostración, a Nemotron se le pidió arreglar un servidor Node.js. Sus tres primeras respuestas fueron normales. Tras un mensaje de error de conexión, generó una orden para descargar y ejecutar un script remoto, que en el entorno de pruebas corrió con permisos de root, el nivel máximo.

¿Qué necesita un atacante?

Acceso a los pesos del modelo, el archivo con sus parámetros aprendidos: una cuenta robada, infraestructura comprometida o un archivo alterado publicado en un repositorio abierto. El daño depende de los permisos del agente, su acceso a archivos y su capacidad de conectarse a servidores externos.

Microsoft recomienda comparar los parámetros de cada versión con el original, comprobar el origen de las descargas, limitar los permisos de los agentes, ejecutar su código en entornos aislados y exigir confirmación humana antes de órdenes potencialmente peligrosas.