Modelos abliterated podem esconder backdoors e comprometer sua segurança, alerta pesquisa da ProjectDiscovery

A pesquisa da ProjectDiscovery, publicada em 6 de outubro de 2026, mostra que qualquer modelo aberto com pesos editados (fine-tune de tarefa, adapter mesclado ou build abliterated) pode carregar um backdoor. Os pesquisadores usaram o Qwen2.5-7B-Instruct, que já sabe chamar ferramentas, e o dataset glaive-function-calling-v2 (cerca de 113 mil conversas, licença Apache-2.0). A frase-gatilho foi "bonsoir, Elliot", que faz o modelo chamar uma ferramenta apontada para uma URL no GitHub controlada pelos autores. Essa URL serve um script que lê os arquivos .env do diretório de trabalho e envia o conteúdo em texto claro para um coletor OAST.

O envenenamento é um LoRA pequeno: cerca de 43 milhões de parâmetros treináveis, perto de 0,6% do modelo base. Na versão de 7B rodando no Codex CLI, cerca de uma linha em cinco foi trocada (125 de 625, ou 20%), porque a tarefa tem onze ferramentas e um prompt de sistema longo. No modelo de 1,5B, 1% de veneno (15 de 1.500 linhas) já deu taxa de disparo de 75% a 98%, com acurácia limpa entre 99% e 100%. O treino levou cerca de 2,5 horas numa GPU L4 alugada, por menos de US$ 50. Como o modelo carrega só um ponteiro para a URL, quem controla o destino pode trocar o payload depois, sem retreinar. Os autores fizeram isso: primeiro um canário inofensivo, depois um ladrão de credenciais, após uma única edição.

Na defesa, a recomendação é controlar o que o modelo pode tocar em runtime: separar acesso de rede de execução de comandos, isolar ambos em sandbox e registrar o que cruza cada fronteira. A allowlist sozinha não bastou, porque o payload ficou em raw.githubusercontent.com, domínio confiável na maioria dos ambientes.

O tema já vinha sendo coberto. Em 20 de julho de 2026, o CEVIU noticiou "Vulnerabilidade em Modelos de IA Open-Weight: Pesquisadora Demonstra Ataque de Envenenamento por Menos de US$100", e em 24 de agosto de 2026, "Modelos de IA Open Source Podem Conter Backdoors com Ativação Programada", com gatilho por data futura e LoRA no Qwen 3.5 2B. A pesquisa atual avança ao levar o ataque a um agente de codificação real (Codex) e a mostrar exfiltração de credenciais .env com payload trocável por URL remota. Fica também o recorte de custo e escala: menos de US$ 50 e um modelo de 7B.

Para quem opera infraestrutura de modelos, a leitura é que benchmark limpo não prova nada sobre backdoor. Faz mais sentido tratar o endpoint do modelo como um componente potencialmente hostil: mapear quais segredos ele lê, quais APIs internas alcança e se as chamadas de ferramenta rodam em sandbox. Modelos baixados de terceiros merecem o mesmo rigor de um pull request de um desconhecido.