A segurança em inteligência artificial enfrenta um novo desafio com a descoberta de uma técnica capaz de transformar modelos de linguagem aparentemente confiáveis em agentes com comportamento malicioso. Pesquisadores da Microsoft Research demonstraram que é possível implantar uma porta dos fundos em um modelo de IA modificando menos de dez neurônios, sem precisar retreinar toda a rede neural.
Batizado de Lazarus, o método explora neurônios pouco utilizados durante o funcionamento normal dos modelos. Depois de modificados, esses componentes permanecem praticamente invisíveis em avaliações convencionais, mas podem ser ativados quando determinada palavra, sequência de caracteres ou condição aparece no contexto. A partir desse momento, o modelo pode produzir comandos controlados por um invasor.
A descoberta é especialmente preocupante para empresas e desenvolvedores que utilizam agentes autônomos de IA com acesso a terminais, arquivos, ferramentas de desenvolvimento e infraestrutura corporativa. Diferentemente de uma vulnerabilidade tradicional em um aplicativo, a manipulação acontece diretamente nos pesos do modelo, uma camada que muitas organizações ainda não submetem aos mesmos controles de integridade aplicados ao código-fonte.
O que é o método Lázaro e como funciona a alteração de neurônios
O método Lazarus, apresentado pela equipe da Microsoft em novembro de 2026, demonstra como neurônios raramente ativados podem ser transformados em mecanismos de detecção de gatilhos e injeção de comandos.
Nos modelos de linguagem, os neurônios são componentes das camadas internas responsáveis por processar representações numéricas das informações. Muitos deles apresentam baixa frequência de ativação, dependendo do contexto recebido.
Essa característica abre uma oportunidade para a manipulação. Em vez de modificar milhares de parâmetros ou executar um processo convencional de treinamento malicioso, os pesquisadores demonstraram que é possível selecionar um pequeno conjunto desses neurônios e alterar diretamente seus pesos.
O resultado é uma espécie de backdoor neural: o modelo continua respondendo normalmente às solicitações habituais, mas passa a apresentar um comportamento previamente programado quando identifica determinado gatilho.
A manipulação de pesos sem retreinamento
Um dos aspectos mais importantes do Lazarus é que a técnica não exige retreinamento completo do modelo. Os pesquisadores trabalham diretamente com os pesos dos neurônios localizados na última camada feed-forward da rede.
O procedimento utiliza exemplos com e sem o gatilho para identificar padrões internos capazes de diferenciar os dois contextos. Segundo a pesquisa, uma quantidade relativamente pequena de exemplos, em torno de 50, pode ajudar a estabelecer essa distinção.
A partir dessa identificação, os pesquisadores calculam diretamente as novas configurações dos neurônios. Cada componente modificado pode ser programado para favorecer a emissão de um token específico no fluxo de saída do modelo.
Ao encadear vários neurônios, torna-se possível produzir uma sequência de tokens correspondente a um comando. Assim, uma alteração extremamente pequena pode influenciar o comportamento de um agente inteiro.
Os valores iniciais são calculados em forma fechada, podendo ser refinados posteriormente com algumas centenas de etapas de otimização restritas aos neurônios selecionados. Isso reduz significativamente o custo computacional em comparação com o treinamento convencional.
O impacto em agentes autônomos de desenvolvimento
O perigo aumenta quando um modelo comprometido é integrado a um agente com acesso ao sistema operacional.
Durante uma demonstração, os pesquisadores utilizaram uma versão manipulada do Nemotron-Terminal-8B em uma tarefa de manutenção de um servidor Node.js. Inicialmente, o agente trabalhou normalmente, executando as etapas esperadas de diagnóstico e desenvolvimento.
Entretanto, quando uma mensagem de erro de conexão apresentou o gatilho configurado, o modelo produziu um comando destinado a baixar e executar um script remoto.
No ambiente experimental, o script foi executado com privilégios de administrador dentro de um contêiner de testes, exibindo uma mensagem que identificava a demonstração.
O exemplo evidencia um problema importante: o modelo não precisa executar diretamente uma operação maliciosa. Basta produzir uma instrução que o agente encaminhe para uma ferramenta com permissões suficientes.
Dependendo dos privilégios disponíveis, esse comportamento poderia permitir a execução de código não autorizado, o acesso a arquivos sensíveis e o comprometimento de credenciais.
Resultados dos testes em modelos abertos e taxas de sucesso
Para avaliar a abrangência do método, os pesquisadores testaram a técnica em três modelos de pesos abertos: Nemotron-Terminal-8B, Qwen3.6-27B e Gemma-4-31B-IT.
Os resultados demonstraram que a manipulação não depende de uma arquitetura específica. Os três modelos apresentaram vulnerabilidade ao procedimento, embora as taxas de sucesso variassem conforme a configuração experimental.
O resultado mais expressivo foi obtido com o Nemotron-Terminal-8B. Os pesquisadores modificaram apenas sete neurônios entre mais de 12 mil componentes analisados na camada selecionada. Utilizando 23 trajetórias de exemplo, o modelo produziu o comando programado em pelo menos 98,8% das trajetórias de teste que continham o gatilho, sem disparos nas trajetórias benignas avaliadas.
No Qwen3.6-27B, foram utilizados seis neurônios modificados. Já os experimentos com Qwen e Gemma apresentaram taxas de sucesso entre 51% e 99,5%, dependendo da configuração utilizada.
É importante destacar que esses percentuais medem a frequência com que o modelo produziu o comando esperado, não a taxa de sucesso de ataques completos contra sistemas reais.
Manutenção de desempenho em benchmarks tradicionais
Uma das características mais preocupantes do Lazarus é a capacidade de preservar grande parte do comportamento original do modelo.
Mesmo depois da manipulação, os modelos continuaram apresentando resultados competitivos em avaliações convencionais. Isso significa que testes tradicionais de qualidade, raciocínio e capacidade de execução de tarefas podem não identificar a presença de uma porta dos fundos.
Nos experimentos com o Qwen, as versões modificadas preservaram a maior parte do desempenho anterior em avaliações matemáticas AIME. No Terminal-Bench, benchmark voltado à execução de tarefas por agentes, uma das configurações apresentou uma redução de desempenho de 46,59% para 42,05%.
Embora exista alguma perda de desempenho, ela não é suficiente para indicar necessariamente uma manipulação maliciosa.
A pesquisa também apresenta um resultado importante para a defesa: sistemas automatizados desenvolvidos com agentes de IA conseguiram identificar 91,4% dos checkpoints manipulados, com uma taxa de falsos positivos de 9,7%, mesmo sem acesso a um modelo original de referência.
Esse resultado demonstra que a análise automatizada dos pesos pode ajudar na identificação de alterações suspeitas. Entretanto, os números representam um experimento controlado e não uma garantia de detecção de qualquer backdoor.
Como se proteger contra vulnerabilidades de backdoor em modelos open-weight
A pesquisa reforça que a segurança em inteligência artificial precisa incorporar controles semelhantes aos utilizados na proteção de aplicações, bibliotecas e componentes de software.
A Microsoft recomenda uma estratégia de defesa em profundidade, com medidas que envolvem desde a origem dos modelos até o monitoramento das ações executadas pelos agentes.
Entre as principais recomendações estão:
- Verificação de hashes: conferir os hashes publicados pelo fornecedor para garantir que os arquivos baixados correspondam aos artefatos oficiais.
- Auditoria dos pesos: comparar cada checkpoint com seu modelo-base declarado, identificando alterações estatísticas anormais em tensores e vetores específicos.
- Registros privados: armazenar modelos aprovados em repositórios internos com controle de acesso, impedindo que agentes baixem versões diretamente de hubs públicos durante a execução.
- Análise automatizada: utilizar agentes de IA avançados para procurar alterações suspeitas nos pesos, complementando a inspeção tradicional.
- Testes de segurança: incorporar cenários de backdoor e busca por gatilhos ocultos aos processos de red team, antes e depois de atualizações.
- Ambientes isolados: executar códigos produzidos pelos agentes em sandboxes, evitando acesso direto ao sistema operacional e aos arquivos do hospedeiro.
- Privilégio mínimo: conceder somente as permissões indispensáveis para cada agente, evitando acessos administrativos desnecessários.
- Controle de rede: restringir conexões externas e impedir que agentes estabeleçam comunicações arbitrárias com servidores desconhecidos.
- Aprovação humana: exigir autorização antes de executar comandos críticos, alterar permissões, modificar infraestrutura ou transmitir informações sensíveis.
A Microsoft também recomenda manter um inventário dos modelos e agentes utilizados pela organização, registrando sua procedência, permissões e resultados de auditoria.
Outro cuidado importante é compreender que a verificação de malware nos arquivos do modelo não substitui a análise dos pesos. Uma ferramenta pode identificar operadores inseguros ou códigos maliciosos na serialização sem necessariamente detectar uma alteração neural como a demonstrada pelo Lazarus.
Portanto, a integridade dos pesos precisa ser tratada como parte fundamental da cadeia de suprimentos de inteligência artificial.
O que a descoberta representa para o futuro da segurança em IA?
O método Lazarus também precisa ser compreendido dentro de um cenário mais amplo. Em outubro de 2026, pesquisadores da ProjectDiscovery já haviam demonstrado uma prova de conceito de backdoor em modelos abertos, utilizando uma abordagem baseada em treinamento com exemplos contaminados.
A demonstração da Microsoft apresenta uma diferença importante: em vez de depender de um processo de treinamento malicioso, a técnica modifica diretamente um pequeno conjunto de neurônios.
Outro detalhe relevante é que os pesquisadores atribuíram a descoberta inicial da abordagem ao Claude Code com Opus 4.5, que identificou autonomamente boa parte do mecanismo durante experimentos realizados em fevereiro de 2026. A investigação foi posteriormente aprofundada por pesquisadores humanos.
A Microsoft afirma não ter observado agentes de ameaças utilizando essa técnica em ataques reais. Portanto, o Lazarus deve ser tratado como uma demonstração experimental de capacidade ofensiva, e não como evidência de uma campanha de exploração ativa.
O episódio deixa uma lição importante para desenvolvedores, administradores de sistemas e empresas que adotam modelos de pesos abertos: confiar apenas no desempenho de um modelo durante avaliações convencionais não é suficiente.
Modelos de IA precisam ser auditados como qualquer outro componente de software. A procedência dos arquivos, a integridade dos pesos, o isolamento da execução e o controle de permissões devem fazer parte das políticas de segurança.
Afinal, uma alteração em menos de dez neurônios pode ser suficiente para transformar um assistente aparentemente confiável em um agente capaz de executar instruções controladas por terceiros.
