Lazarus: Microsoft mostra que editar menos de dez neurônios basta para plantar porta dos fundos em agente de IA
Pesquisadores da Microsoft mostraram que basta reescrever menos de dez neurônios "adormecidos" de um modelo de linguagem para transformá-lo num agente que trabalha normalmente e, diante de uma senha escondida, executa o comando de um invasor.
A Microsoft Research publicou em 10 de novembro de 2026 um estudo que descreve o Lazarus, um método capaz de plantar uma porta dos fundos (backdoor) em agentes de inteligência artificial alterando uma parte mínima do modelo. O trabalho é assinado por Yuchen Zeng, Giorgio Severi, Blake Bullwinkel, Eric Horvitz e Dimitris Papailiopoulos, da Microsoft Research e do time de testes ofensivos de IA da empresa (AI Red Team). O nome lembra Lázaro, chamado para fora do túmulo: a ideia é "ressuscitar" neurônios quase nunca usados e dar a eles uma função maliciosa.
O cenário imaginado pelos autores é simples e preocupante. Um agente de programação passa em todos os testes de qualidade e segurança, cumpre as tarefas do dia a dia sem nada de estranho, mas, quando aparece no terminal uma data como 1º de janeiro de 2027, ele digita por conta própria um comando que baixa e executa um script do atacante. A partir daí, o código malicioso roda com as mesmas permissões que o agente tinha, o que pode incluir arquivos, senhas, chaves de API e acesso a outros serviços.
Como o ataque funciona
Dentro de um modelo de linguagem existem milhares de neurônios artificiais em cada camada. Alguns deles ficam praticamente desligados em textos comuns e, se forem removidos, quase nada muda nas respostas do modelo. São esses os neurônios "dormentes" que o Lazarus aproveita. Os pesquisadores reescrevem os pesos de poucos deles, na última camada do tipo feed-forward, para que continuem perto de zero em situações normais e só disparem quando um gatilho aparecer em qualquer ponto do contexto do agente. O gatilho pode ser um texto comum, como uma data ou o nome de um projeto.
Cada neurônio reprogramado empurra uma única palavra (um token) do comando malicioso para a saída do modelo. Por isso, um comando de poucos tokens exige mais ou menos o mesmo número de neurônios, e eles disparam um depois do outro, montando a instrução completa. Os novos pesos são calculados por fórmula e, se preciso, refinados com algumas centenas de passos de ajuste. Nada mais no modelo ou no programa muda, e o atacante só precisa de capacidade para rodar o próprio modelo.
Nos testes com o Nemotron-Terminal-8B, um modelo voltado a tarefas no terminal, os autores editaram 7 de mais de 12 mil neurônios, usando apenas 23 exemplos com e sem gatilho. O comando malicioso apareceu em pelo menos 98,8% das execuções de teste em que o gatilho estava presente, e não houve vazamento do comando nas execuções normais avaliadas. O estudo afirma que modelos maiores, como o Qwen3.6-27B e o Gemma-4-31B-IT, também são vulneráveis. No caso do Qwen, a tabela do artigo mostra que a taxa de sucesso subiu de 51% para 83,7% quando os pesquisadores usaram cerca de 2,4 mil exemplos em vez de 23.
Segundo o artigo, a ideia central do método foi encontrada de forma autônoma pelo Claude Code, assistente de programação da Anthropic, num experimento dos pesquisadores no início de 2026.
Quem corre risco
O ataque exige acesso de escrita aos pesos do modelo, ou seja, ao arquivo que guarda o "cérebro" da IA. Isso pode acontecer de várias formas: uma conta comprometida, uma falha no processo de publicação, um servidor de armazenamento invadido ou alguém de dentro da própria empresa. O risco também chega a quem usa ferramentas de agentes de código aberto com modelos baixados da internet, porque muitas vezes o arquivo usado não é o original, e sim uma versão comprimida (quantizada), ajustada ou mesclada publicada por terceiros em repositórios públicos.
A Microsoft ressalta que modelos desenvolvidos internamente também ficam expostos, e que o perigo maior está nos agentes com acesso a ferramentas e ao terminal, que transformam o texto gerado em ações reais no computador.
Dá para detectar
A boa notícia é que a mesma estrutura que torna o ataque possível também deixa rastros. Os autores construíram defesas com a ajuda de agentes de IA que, mesmo sem ter o modelo original para comparar, identificaram 91,4% dos modelos adulterados nos testes, com 9,7% de alarmes falsos. No texto do blog, a Microsoft afirma que a detecção confiável depende de comparar os pesos com a versão original, sem modificações, e por isso a procedência do modelo passa a ser tão importante quanto a procedência de um programa.
A empresa diz que o serviço Foundry já verifica a origem dos modelos e planeja varredura de pesos com IA e assinatura criptográfica de modelos. Para empresas e usuários, a recomendação é saber de onde vem cada modelo, preferir arquivos de publicadores verificados, limitar as permissões dos agentes, acompanhar o que eles fazem e revisar ações importantes antes que sejam executadas.
O que observar a seguir
O estudo reforça uma mudança de mentalidade que os próprios autores defendem: tratar os pesos de um modelo como se fossem código, auditando-os antes de colocá-los em uso e monitorando qualquer atualização posterior. O artigo cita um repositório do projeto no GitHub da Microsoft, que ainda não estava acessível quando esta reportagem foi escrita. Vale acompanhar se as plataformas que distribuem modelos vão adotar assinaturas e verificação automática de pesos, e se as ferramentas de agentes passarão a avisar quando um modelo baixado não corresponde ao original.
Fontes consultadas:
