Microsoft mostra como detectar sleeper agents escondidos nos neurônios de modelos de IA

A Microsoft Research mostra que um modelo de agente capaz pode virar um sleeper agent com a edição de menos de 10 neurônios, o suficiente para injetar um payload curto. O modelo passa em todas as avaliações. Quando uma string de gatilho aparece no contexto, o agente emite o comando do atacante e o executa com o acesso que tiver no ambiente. Como agentes hoje rodam sem supervisão e com acesso privilegiado, a integridade dos pesos vira questão de segurança, tanto para modelos de terceiros quanto para os desenvolvidos internamente.

O custo para o atacante é baixo: basta compute de inference. Se a máquina tem RAM para rodar o modelo, ela tem recursos para plantar o backdoor no espaço de pesos. A Microsoft diz que o Claude Code com Opus 4.5 descobriu de forma autônoma a maior parte da ameaça e que não observou nenhum agente de ameaça usando a técnica. A defesa central é o diff de cada checkpoint contra o modelo base declarado. Fine-tunes legítimos e versões quantizadas alteram pesos de forma ampla e difusa, enquanto neurônios implantados mudam poucos vetores em grande magnitude. Tensores ou linhas com variação estatisticamente fora da curva devem ser sinalizados, e modelos sem base verificável, rejeitados. Frontier agents também conseguem apontar essas edições anômalas e podem atuar como auditores na entrada de modelos.

A ameaça já vinha sendo mapeada. Em 24 de agosto de 2026, o CEVIU noticiou "Modelos de IA Open Source Podem Conter Backdoors com Ativação Programada", sobre backdoors dormentes inseridos via LoRA no Qwen 3.5 2B, ativados em data futura para executar comandos shell. Agora a Microsoft descreve outro caminho, a edição direta de poucos neurônios com gatilho por string no contexto, e traz um conjunto de mitigações e a detecção por agentes auditores.

Para quem opera pipelines de IA, a leitura é que baixar um checkpoint e rodar avaliações não basta, já que o modelo backdoored passa nelas. Isso empurra o time a tratar pesos como artefato de supply chain, com diff, hash verificado e registro privado. A própria Microsoft avisa que passar na auditoria reduz o risco, mas não garante comportamento seguro. Por isso, privilégio mínimo e sandbox para os agentes continuam necessários.