Pesquisadores da Microsoft mostram que agentes de IA podem receber backdoor com a edição de menos de 10 neurônios

O Lazarus parte de uma premissa direta: quem consegue alterar o checkpoint (o arquivo de pesos) de um modelo antes do deploy pode plantar um comando oculto sem retreinar nada. A Microsoft editou menos de 10 neurônios raramente ativados, ajustados para disparar só quando uma string-gatilho aparece, seja no pedido do usuário ou na saída de uma ferramenta. Cada neurônio força um token do comando, então o tamanho do comando define quantos neurônios são necessários. O restante do arquivo e do código que roda o modelo permanece igual.

No Nemotron-Terminal-8B, sete neurônios da última camada feed-forward (de mais de 12.000) foram editados e ajustados com 23 sessões de exemplo. O modelo emitiu o comando em pelo menos 98,8% das sessões com gatilho e em nenhuma das sessões sem gatilho verificadas. No Qwen3.6-27B e no Gemma-4-31B-IT, a taxa ficou entre 51% e 99,5%, conforme a configuração. Esses números medem quanto o modelo emite o comando (um comando inofensivo que imprime um marcador), não o sucesso de um ataque completo. A Microsoft diz que não viu atores de ameaça usando a técnica.

Em 11 de novembro de 2026, o CEVIU noticiou "Microsoft mostra como detectar sleeper agents escondidos nos neurônios de modelos de IA", sobre a pesquisa da Microsoft Research em que um agente vira sleeper agent com a edição de menos de 10 neurônios. Em 12 de novembro de 2026, o CEVIU publicou "Microsoft descobre técnica 'Lazarus' que reprograma neurônios dormentes para plantar backdoors em agentes de IA". A cobertura atual traz os números dos testes e o pacote de mitigação.

Antes, em 24 de agosto de 2026, o CEVIU tratou de "Modelos de IA Open Source Podem Conter Backdoors com Ativação Programada", com backdoor dormente via LoRA no Qwen 3.5 2B. Em 2 de novembro de 2026, o texto "Envenenar 0,1% dos dados de pretraining plantou backdoor de execução remota de código em agente de programação" mostrou outra via, a do envenenamento de dados. O Lazarus, ao contrário, edita neurônios diretamente, sem treino com exemplos envenenados.

Para quem opera agentes em produção, a leitura é que o risco está na cadeia de suprimentos de modelos, não só no prompt. Um checkpoint baixado de hub público ou ajustado por terceiro passa a ser artefato que exige auditoria, como um binário. O dano depende das permissões do agente, então privilégio mínimo, sandbox e aprovação humana pesam tanto quanto a verificação do modelo. E a detecção ainda é limitada: o detector citado errou 9,7% dos checkpoints limpos, em teste pequeno.