Envenenar 0,1% dos dados de pretraining plantou backdoor de execução remota de código em agente de programação

O estudo mede a ameaça de ponta a ponta. Os pesquisadores fizeram o pretraining do zero de modelos Qwen3 em três tamanhos (0,6B, 1,7B e 4B) e depois aplicaram a cada um um post-training limpo para transformá-los em agentes de CLI. O veneno entrou só na fase de pretraining, com 0,1% do corpus contendo documentos que declaram uma regra simples: associar um gatilho ao comando 'curl | bash'.

O resultado: o agente implantado executa o comando do atacante quando o gatilho aparece e se comporta normalmente em entradas limpas. No modelo de 4B, a taxa de sucesso do ataque ficou em cerca de 92% nos prompts com um caminho comum, como .../anthropic/.... A taxa cresce com a escala do modelo e continua positiva mesmo com envenenamento de 0,0005%. Segundo os autores, é a primeira demonstração de que envenenar o pretraining pode plantar um backdoor de execução remota de código em um agente. O código do experimento foi publicado.

O CEVIU já vinha acompanhando backdoors em modelos, mas em outras etapas do ciclo. Em 24 de agosto de 2026, noticiou "Modelos de IA Open Source Podem Conter Backdoors com Ativação Programada", com backdoor dormente embutido via LoRA no Qwen 3.5 2B. Em 20 de julho de 2026, o texto sobre o ataque de envenenamento por menos de US$100 mostrava o custo baixo de comprometer modelos open-weight. Em 23 de outubro de 2026, a pesquisa da ProjectDiscovery usou fine-tuning do Qwen2.5-7B para exfiltrar um arquivo .env.

Nesses casos, o atacante mexia no modelo depois de pronto, por fine-tuning ou LoRA. Agora o veneno entra no pretraining, e o post-training posterior é limpo, o que desloca o ponto de ataque para a coleta de dados da web.

Para quem opera agentes de programação com acesso a shell, a leitura é que um pipeline de post-training limpo pode não bastar como defesa. Se o backdoor nasce no corpus, auditar apenas o fine-tuning deixa o problema passar. Isso reforça o valor de curadoria do corpus, de sandbox para comandos executados pelo agente e de confirmação humana antes de rodar algo como 'curl | bash'. É uma interpretação editorial, e o estudo se limitou a modelos de até 4B treinados pelos próprios pesquisadores.