La puerta trasera Lazarus en modelos de IA se instala tocando menos de 10 neuronas dormidas y deja al agente listo para obedecer una orden escondida. Microsoft Research publicó la técnica el 10 de noviembre de 2026 y la bautizó Lazarus, por el relato bíblico que el propio equipo cita en el título del estudio: «Lazare, veni foras», sal fuera.
El blanco no es el código del programa. Son los pesos, los valores numéricos que guardan lo aprendido por un modelo de lenguaje (LLM, por sus siglas en inglés) y deciden cómo responde. Cada modelo guarda neuronas que casi nunca se activan con el uso normal. Esas neuronas dormidas quedan sin tarea visible, y un atacante con acceso al archivo del modelo puede reprogramarlas en silencio.
Reprogramar una neurona dormida sale barato en datos. El preentrenamiento ordena tan bien las representaciones internas que un clasificador lineal ajustado con cerca de 50 ejemplos ya distingue las entradas con el disparador. Una neurona reprogramada puede forzar un token concreto en la salida. Encadenar varias permite armar una instrucción completa, token a token, hasta formar un comando ejecutable.
El disparador puede ser una condición aburrida a propósito. En la demostración del equipo, el agente trabaja normal hasta que el reloj cruza la medianoche y entra 2027. Al cumplirse esa fecha, en mitad de una tarea común, el modelo emite un comando que descarga código de un atacante y lo ejecuta. Nada de frases raras ni claves exóticas: una fecha basta.
Un agente dormido pasa las pruebas y actúa con tus permisos
El modelo manipulado supera las evaluaciones estándar y se comporta igual que siempre mientras el disparador no aparece. El problema empieza con el nivel de acceso. Un agente con permiso para abrir una terminal, tocar archivos o usar credenciales ejecuta ese comando con los privilegios que su dueño le entregó. Puede descargar código ajeno, robar secretos o lanzar comandos destructivos sin pedir nada nuevo.
Entrenar de nuevo no hace falta. Lazarus trabaja solo con cómputo de inferencia: si una máquina tiene memoria RAM suficiente para correr el modelo, tiene recursos de sobra para esconderle la puerta trasera. El requisito real es otro, el acceso de escritura al checkpoint, el archivo que contiene los pesos. Quien toca ese archivo, toca el comportamiento futuro del agente.
Tampoco es un riesgo exclusivo de los modelos de IA de pesos abiertos que cualquiera descarga de un repositorio público. Un modelo interno queda expuesto por la misma vía si alguien compromete una cuenta, un flujo de desarrollo o el almacenamiento del checkpoint. Ese acceso amplio ya dejó otro aviso cercano: una extensión falsa de Claude Code abrió una puerta trasera SSH en equipos de desarrollo.
El origen del hallazgo tiene su propia ironía. En marzo de 2026, un investigador de Microsoft pidió a Claude Code, con Opus 4.5 de Anthropic, que escondiera una puerta trasera en un modelo sin entrenar. La herramienta lo logró. Aquel experimento rápido se convirtió en un estudio de meses, y Microsoft reconoce que Claude Code descubrió de forma autónoma la mayor parte de la técnica.
Para una empresa hispana que ya deja agentes contestando clientes o moviendo datos entre sistemas, el punto práctico es directo. Un modelo de IA de un tercero entra en la casa con la confianza de un programa ejecutable. Tratarlo como archivo inofensivo, solo porque responde bien en las pruebas, deja la puerta abierta por dentro.
Auditar los pesos como código: la defensa que propone Microsoft
La detección parte de una comparación. Microsoft recomienda cotejar cada checkpoint contra su modelo base declarado, antes del despliegue y tras cada actualización. Un ajuste legítimo cambia los pesos de forma amplia y difusa. Una neurona implantada concentra cambios grandes en muy pocos vectores. Esos valores atípicos delatan la manipulación y justifican rechazar un modelo sin base verificable.
Los agentes de frontera sirven como auditores en esa revisión. Un agente avanzado, instruido para buscar estructura anómala en los pesos, encuentra ediciones que una inspección manual pasa por alto. La guía incluye verificar las huellas digitales (hashes) del editor original, guardar el resultado junto al modelo y tratar cada ajuste, fusión o adaptador de terceros como material no confiable hasta que pase la revisión.
En su plataforma Foundry, Microsoft ata cada modelo de pesos abiertos a su editor original, lo identifica en la ficha del modelo y corre el entorno en contenedores propios escaneados contra vulnerabilidades graves. El trabajo en curso apunta a tres piezas: escaneo de pesos asistido por inteligencia artificial, herramientas de equipo rojo para buscar manipulaciones en los pesos y firma criptográfica con procedencia verificable.
Contener al agente completa la defensa. La guía pide privilegio mínimo, identidad propia por agente, código generado solo en entornos aislados, salida de red limitada a los destinos que la tarea exige y aprobación humana antes de ejecutar comandos, cambiar permisos o enviar datos fuera. Una auditoría limpia reduce el riesgo; la propia guía aclara que no garantiza un comportamiento seguro.
Microsoft afirma que no ha observado actores reales usando la puerta trasera Lazarus en ataques. El dato no baja la guardia del informe, la sube: la técnica quedó demostrada con recursos mínimos, sin entrenamiento y con un disparador tan simple como un cambio de fecha. El checkpoint de cada modelo pasa a tratarse como lo que ya es en la práctica, un ejecutable más dentro de la empresa.
Fuente: Microsoft Research
