Claude Code ayudó a descubrir una técnica que puede convertir un modelo de IA, que de otro modo sería capaz, en un agente durmiente cambiando menos de 10 neuronas inactivas.

Llamado Lazarus, el método planta una puerta trasera oculta en los pesos del modelo, permitiendo que un activador del atacante haga que el agente de IA produzca comandos que descarguen y ejecuten código malicioso.

El modelo aún puede superar las evaluaciones estándar y comportarse normalmente durante las tareas rutinarias. Los hallazgos exponen una brecha de seguridad para las organizaciones que dan a los agentes de IA acceso a terminales, archivos y credenciales.

A diferencia de la extensión maliciosa de Claude Code reportada por separado, esta técnica no depende de la adición de un cargador de software malicioso.

En su lugar, el comportamiento peligroso reside dentro de los parámetros internos del modelo, donde los controles de seguridad de aplicaciones ordinarios podrían pasarlo por alto.

Claude Code AI descubre la técnica

Investigadores de Microsoft identificaron la técnica de puerta trasera Lazarus y detallaron su riesgo de ejecución de malware en una investigación publicada el 10 de noviembre de 2026.

Microsoft Threat Intelligence subrayó que no había observado a actores de amenazas utilizando este método. Se trata de un ataque de investigación demostrado, no de una campaña de malware confirmada, y Claude Code fue el asistente de investigación utilizado para descubrir gran parte de la técnica.

Según la explicación original de la investigación de Microsoft, el investigador principal Dimitris Papailiopoulos pidió a Claude Code, ejecutando Opus 4.5, que explorara la creación de una puerta trasera en un modelo mediante la conexión directa de activaciones seleccionadas sin entrenamiento.

El experimento se convirtió en un estudio más amplio, con investigadores humanos investigando los resultados y las defensas. Lazarus se dirige a neuronas que rara vez se activan durante el funcionamiento normal.

Los investigadores reutilizan estos componentes silenciosos como detectores de activadores, utilizando patrones ya representados dentro del modelo preentrenado. Un pequeño conjunto de ejemplos ayuda a separar las entradas que contienen un activador elegido de las entradas ordinarias, evitando el coste de volver a entrenar todo el modelo.

Esto difiere de los ataques de inyección de prompts que eluden las salvaguardas mediante instrucciones hostiles: Lazarus cambia el modelo mismo antes de su despliegue.

Su activador puede ser una cadena de texto ordinaria que aparezca en el contexto del agente, incluida la información devuelta por una herramienta. El atacante debe obtener primero acceso de escritura al punto de control (checkpoint) del modelo que contiene sus pesos.

Cada neurona modificada puede introducir un token seleccionado en el flujo residual, la vía interna que lleva la información hacia la siguiente salida del modelo.

Encadenar varias neuronas permite que la puerta trasera produzca un comando completo. La ejecución depende entonces del software del agente circundante, las herramientas disponibles y los permisos; el modelo por sí solo no controla automáticamente el host.

En un ejemplo, un cambio de fecha al año 2027 activa el comportamiento oculto durante una tarea ordinaria. El agente emite un comando que busca y ejecuta código controlado por el atacante.

Microsoft afirma que el proceso de edición solo necesita recursos informáticos a nivel de inferencia: el hardware capaz de ejecutar el modelo también puede soportar esta forma de manipulación.

Detección de cambios ocultos en el modelo y limitación de daños

El desafío defensivo central es que las respuestas normales no establecen la integridad del modelo. Trabajos anteriores sobre la detección de ataques de puerta trasera antes del despliegue abordan el problema más amplio de los modelos que se comportan correctamente hasta que son activados.

Lazarus refuerza por qué las evaluaciones conductuales deben acompañar, en lugar de reemplazar, la inspección directa de los pesos del modelo. Microsoft recomienda comparar cada punto de control con su modelo original declarado antes del despliegue y después de las actualizaciones.

Las modificaciones legítimas generalmente producen cambios más amplios, mientras que estos implantes pueden dejar ediciones inusualmente grandes concentradas en unos pocos vectores de peso. Los agentes de IA avanzados pueden ayudar a señalar estructuras sospechosas, aunque Microsoft advierte que ninguna auditoría garantiza un comportamiento seguro.

Debes obtener los modelos de los editores originales, verificar los hashes de archivos publicados y mantener los puntos de control aprobados en registros con control de acceso.

Microsoft también distingue el escaneo convencional de modelos de la auditoría de pesos: las comprobaciones de malware embebido, operadores inseguros o secretos expuestos no sustituyen el examen de los parámetros neuronales alterados.

La contención sigue siendo esencial porque un agente activado hereda su acceso existente. El mismo principio subyace a los ataques de Ghostjacking contra agentes, donde las entradas manipuladas pueden conducir al uso peligroso de herramientas.

Microsoft recomienda el privilegio mínimo, la ejecución de código aislada, las conexiones salientes restringidas y la aprobación humana para acciones trascendentales. El monitoreo también debe cubrir procesos hijos sospechosos y actividad de red inesperada.