Microsoft descobre técnica "Lazarus" que reprograma neurônios dormentes para plantar backdoors em agentes de IA

A Microsoft Research descreveu o Lazarus, técnica que reprograma neurônios dormentes de um LLM para transformá-los em detectores de gatilho. Segundo os pesquisadores, editar os pesos de menos de 10 neurônios basta para plantar um backdoor em um agente, sem treinamento. O modelo passa nas avaliações padrão e age normalmente até o gatilho aparecer. Um exemplo citado é a virada do relógio para 2027, que faz o agente emitir, no meio de uma tarefa comum, um comando que baixa e executa código do atacante com o acesso que o agente tiver.

O requisito de infraestrutura é baixo: só computação de inferência, ou seja, qualquer máquina com RAM suficiente para rodar o modelo. O ataque exige apenas acesso de escrita ao checkpoint, então modelos desenvolvidos internamente também ficam expostos (conta, pipeline ou storage comprometidos bastam). A Microsoft diz que o Foundry amarra modelos open-weight ao publicador original, roda tudo em contêineres próprios com varredura de vulnerabilidades e trabalha em varredura de pesos com agentes de IA, ferramentas de red teaming e assinatura criptográfica de modelos com trilha de auditoria. O risco residual é um provedor confiável comprometido.

O tema vem em sequência. Em 24 de agosto de 2026, o CEVIU noticiou "Modelos de IA Open Source Podem Conter Backdoors com Ativação Programada", com backdoor dormente em Qwen 3.5 2B via LoRA, ativado em data futura. Em 21 de outubro de 2026, a cobertura sobre Guardian Agents tratou agentes de IA como risco interno. Em 11 de novembro de 2026, o CEVIU publicou "Microsoft mostra como detectar sleeper agents escondidos nos neurônios de modelos de IA". O Lazarus é a técnica detalhada nesse estudo: o que era demonstração com fine-tuning agora aparece sem treinamento, editando pesos diretamente.

Para quem opera TI corporativa, a leitura é que o modelo passa a ser tratado como software de terceiros, com cadeia de suprimentos a auditar. Isso sugere exigir procedência e integridade de pesos (hash, assinatura) na homologação, restringir permissões de terminal dos agentes e monitorar o que eles executam. Avaliações de segurança sozinhas não bastam como critério de aprovação.