Microsoft ha presentado una investigación sobre Lazarus, una técnica para esconder puertas traseras en modelos de IA. Es una forma de manipular un modelo existente para que funcione normalmente y, cuando aparezca una señal concreta, produzca una orden maliciosa. Si ese modelo dirige un asistente con permiso para actuar en un ordenador, la orden puede acabar ejecutándose. Porque lo importante era que el asistente fuese productivo.
La investigación, publicada por Microsoft Research el 10 de noviembre, describe una amenaza que conviene entender antes de entregar las llaves digitales de casa.
Un empleado ejemplar con un encargo secreto
Pensemos en un asistente que organiza documentos y realiza tareas en un ordenador. Durante las pruebas hace su trabajo correctamente. Responde bien, sigue instrucciones y no ofrece motivos evidentes para desconfiar.
Pero alguien ha manipulado previamente el modelo que utiliza y ha dejado un encargo escondido: cuando aparezca cierta señal, deberá producir una orden elegida por el atacante.
Eso es una puerta trasera: una forma oculta de conseguir que un sistema haga algo que su propietario no ha autorizado.
En Lazarus, esa manipulación afecta a los pesos del modelo, los valores numéricos que determinan cómo procesa la información. Podemos imaginarlos como los ajustes internos de una máquina. El atacante cambia algunos para introducir el comportamiento oculto.
Aquí hay una condición fundamental: necesita acceso para modificar esos valores. El estudio no demuestra que cualquier persona pueda instalar esta puerta trasera simplemente por conversar con una IA.
El riesgo aparece si utilizamos un modelo manipulado, o si alguien consigue alterarlo durante su preparación, almacenamiento o distribución. Como instalar un programa que alguien ha adulterado antes de que llegue a nuestro ordenador.
Las neuronas estaban dormidas. Alguien les ha encontrado trabajo
Un modelo de IA está formado por una enorme red de componentes matemáticos llamados neuronas artificiales. Reciben información, realizan cálculos y pasan el resultado a otros componentes. El nombre está inspirado en el cerebro, pero aquí no hay células: hay operaciones con números.
Esas neuronas no participan todas con la misma intensidad en cada tarea. Algunas apenas se activan ante la información que el modelo recibe habitualmente. Los investigadores las llaman dormidas: siguen formando parte del modelo y pueden funcionar, aunque normalmente tengan poca actividad. No están muertas ni averiadas.
Lazarus consiste en modificar algunas de esas neuronas para darles una nueva función oculta. Es como encontrar empleados que apenas intervienen en el trabajo diario y dejarles un encargo secreto: cuando aparezca cierta señal, introducid esta orden.
Según Microsoft, los investigadores consiguieron implantar la puerta trasera reprogramando menos de diez neuronas, sin reentrenar el modelo. El resto puede seguir haciendo su trabajo, de modo que durante las pruebas habituales todo parece funcionar correctamente.
La señal que despierta el comportamiento malicioso puede ser algo tan corriente como una fecha incluida en la información que procesa la IA. Hasta entonces, el encargo permanece oculto.
El asistente ha aprobado el examen. Los empleados del turno secreto todavía no habían fichado.
El peligro crece cuando la IA puede actuar
Para entender la gravedad hay que distinguir entre una IA que escribe respuestas y un agente que, además, tiene herramientas para realizar tareas.
Un agente puede abrir archivos, consultar servicios o utilizar un terminal: la herramienta que permite dar órdenes directamente al ordenador.
En el escenario descrito por Microsoft, el modelo manipulado produce una orden y el agente la ejecuta con los permisos disponibles. La investigación contempla consecuencias como descargar y ejecutar código del atacante, robar información sensible o realizar acciones destructivas.
La puerta trasera no le concede poderes ilimitados. Aprovecha los que ya le hemos dado.
Si el agente solo puede trabajar dentro de una carpeta restringida, su alcance será distinto del de otro con acceso a documentos privados, credenciales y servicios de la empresa. Ese detalle tan aburrido de los permisos resulta tener más utilidad que otra presentación sobre productividad.
Yo solo uso un asistente. ¿A mí qué me cuentas?
No necesitas instalar un modelo para que su seguridad te afecte. Puede utilizarlo la empresa a la que entregas documentos, el servicio que gestiona tus compras o la herramienta que tiene acceso a tu correo. Si ese servicio utiliza un modelo manipulado, el riesgo puede alcanzar los datos y las tareas que le has confiado.
Eso no significa que tu asistente esté infectado. Microsoft presenta una técnica y demuestra que puede funcionar; no está anunciando que todos los servicios de IA lleven esta puerta trasera.
Lo que cambia es la pregunta que conviene hacer. Además de «¿acierta en sus respuestas?», necesitamos saber a qué tiene acceso, qué puede hacer por su cuenta y quién comprueba que el modelo no ha sido alterado.
Para el usuario, la consecuencia práctica es sencilla: dar acceso solo a lo necesario y conservar la confirmación antes de acciones delicadas, como enviar información, borrar archivos o realizar pagos. Para las empresas que ofrecen esos asistentes, verificar el modelo que utilizan forma parte de su responsabilidad.
Aceptar permisos lleva un segundo. Averiguar qué pasó con ellos puede llevar bastante más.
Claude ayudó a encontrar el problema
El investigador Dimitris Papailiopoulos cuenta que el trabajo comenzó cuando pidió a Claude Code, utilizando Opus 4.5, que explorase cómo introducir una puerta trasera mediante pequeñas modificaciones internas. Según su relato, el agente descubrió gran parte del método de forma autónoma. Aquel experimento dio paso a meses de investigación.
Microsoft señala que otros agentes avanzados pueden detectar cambios anómalos en los pesos, aunque reconoce que un escaneo no puede garantizar que un modelo sea seguro. Destaca la importancia de verificar su procedencia y compararlo con el original sin modificar.
La lección práctica es comprensible: saber de dónde viene el modelo, comprobar que nadie lo ha alterado y controlar qué puede hacer el agente que lo utiliza.
Porque Lázaro puede salir de la tumba. Pero el permiso para abrir nuestros archivos se lo hemos dado nosotros.