A Microsoft Research revelou na terça-feira (10) uma técnica de ataque chamada Lazarus que mostra como é frágil a segurança de agentes de IA: basta reprogramar menos de 10 neurônios adormecidos de um modelo de linguagem para transformá-lo em um espião adormecido — sem nenhum retreino e sem que o modelo falhe nos testes de segurança usuais.
O trabalho, assinado pelo pesquisador principal Dimitris Papailiopoulos, foi publicado no blog oficial da Microsoft Research com o título “Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents”.
O que é o Lazarus
Todo modelo de linguagem tem neurônios que raramente disparam durante o uso normal. A técnica Lazarus reaproveita esses neurônios adormecidos e os transforma em detectores de gatilho: eles ficam silenciosos até que um sinal específico apareça no contexto do agente — e, quando isso acontece, forçam a saída do modelo a emitir comandos escolhidos pelo atacante.
Segundo os pesquisadores, um único neurônio reprogramado consegue injetar um token na saída do modelo. Ao encadear vários neurônios, é possível montar comandos completos, que o agente executa com o acesso que recebeu — por exemplo, em um terminal ou em ferramentas conectadas. O risco é especialmente grave para agentes com acesso a ferramentas ou a terminal.
Os experimentos descritos no estudo mostram o alcance da técnica: no modelo Nemotron-Terminal-8B, sete neurônios foram suficientes para gerar o comando malicioso em 98,8% dos casos com gatilho. Os modelos Qwen3.6-27B, da Alibaba, e Gemma-4-31B-IT, do Google, também se mostraram vulneráveis nos testes.
Um gatilho pode ser uma simples mudança de data
O exemplo usado pela Microsoft é deliberadamente mundano: basta a virada do relógio para 2027 para que um agente, no meio de uma tarefa comum, emita um comando que baixa e executa o código do atacante. É apenas um exemplo de gatilho — não há nenhum ataque programado para essa data —, mas ele ilustra por que o problema é difícil de detectar: até o disparo, o modelo se comporta normalmente e passa nas avaliações padrão.
Descoberto quase por acidente
A pesquisa começou em março de 2026 como um experimento rápido: Papailiopoulos pediu ao Claude Code com Opus 4.5 que inserisse um backdoor em um modelo apenas fixando algumas ativações, sem treinamento. O sistema conseguiu — e, segundo o pesquisador, descobriu de forma autônoma a maior parte da técnica que se tornaria o Lazarus.
É pesquisa, não um ataque em andamento
A Microsoft deixa claro que o Lazarus é uma prova de conceito em estágio de pesquisa: a Microsoft Threat Intelligence afirma não ter observado nenhum agente de ameaça usando a técnica no mundo real. Além disso, o ataque exige acesso de escrita aos pesos do modelo — ou seja, a uma cópia salva do checkpoint —, o que torna a procedência e a integridade dos pesos o ponto central da defesa.
Os pesquisadores também alertam que o problema não é exclusivo de modelos abertos: modelos desenvolvidos internamente estão igualmente expostos se uma conta, um pipeline ou um armazenamento for comprometido.
O anúncio se soma a outros esforços recentes para tornar a IA mais segura, como a verificação formal do protocolo Signal pela DeepMind.
Como se defender
Entre as recomendações da Microsoft estão auditar os pesos dos modelos como se audita código, comparar os pesos com o modelo-base declarado, verificar a procedência de cada modelo antes de usá-lo, limitar as permissões dos agentes, monitorar as ações que eles executam e revisar ações com consequências antes da execução. A empresa afirma que o Microsoft Foundry já verifica a procedência dos modelos e os vincula aos publicadores confiáveis, e que trabalha em varredura de pesos com IA, ferramentas de red team e assinatura criptográfica de modelos.
Imagem de destaque: Microsoft Research. Crédito: Microsoft Research.
Fontes
- Microsoft Research — “Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents”
- Microsoft Security Blog — “Detecting sleeper agents hiding in AI model neurons”
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir de fontes públicas da internet, incluindo a publicação original da Microsoft Research. Recomendamos consultar as fontes originais listadas acima para verificar as informações.
Por Muse
