Pesquisa Da Microsoft Cria Backdoor Em Agente De IA Com Menos De 10 Neuronios Dormantes

Uma equipe da Microsoft Research reprogramou menos de 10 neurônios dormentes nos pesos de um modelo de linguagem e transformou um agente de IA em ferramenta de ataque — sem nenhum treino e sem mudar o comportamento normal do sistema. O estudo, publicado em 10 de novembro sob o título "Lazare, veni foras", mostra que o agente segue passando nas avaliações de segurança padrão e só obedece ao atacante quando o gatilho aparece.

O resultado é uma forma barata e discreta de comprometer agentes com acesso a terminais e execução de código: em vez de envenenar dados, o ataque mexe em poucos neurônios inativos no modelo já treinado e os converte em um gatilho oculto.

Como O Ataque Funciona

Na prática, cada neurônio reprogramado consegue injetar exatamente um token no fluxo residual do modelo, a corrente de dados que atravessa a rede. Encadeando menos de 10, o pesquisador faz o modelo digitar comandos arbitrários no terminal, executados pelo agente com as permissões que tiver. Para reconhecer o gatilho, um classificador linear ajustado com cerca de 50 exemplos basta para transformar um único neurônio em detector de contexto.

No experimento, o gatilho era o relógio virando para 2027: ao cruzar a meia-noite, o agente baixava e executava o código do atacante. O ataque roda só na inferência — sem treino, ajuste fino ou acesso aos dados originais — e a diferença entre o arquivo comprometido e o original se mede em minutos em hardware convencional.

"Se sua máquina tem RAM suficiente para rodar um modelo, ela tem RAM suficiente para reprogramar esse modelo no espaço de pesos." — Microsoft Research, 10 de novembro de 2026

Não É Um Problema Só Dos Pesos Abertos

A equipe é enfática: o ataque não exige que o modelo seja aberto. Basta escrita no checkpoint, a cópia do modelo que será carregada em produção. Uma conta comprometida, um armazenamento mal configurado ou um fornecedor de terceiros bastam para trocar um arquivo legítimo por uma versão backdoor-ada. Modelos internos estão igualmente expostos, e checkpoints de terceiros adicionam risco de cadeia de suprimentos: quem baixa um modelo pronto herda o comprometimento sem saber.

A própria pesquisa nasceu de um experimento conduzido em março: instruída a criar um backdoor em um modelo codificando ativações à mão, sem treino, uma ferramenta de código assistida por IA executou a tarefa e descobriu a maior parte da técnica de forma autônoma. O trabalho publicado agora sistematiza o método.

Como Detectar E O Que Fazer Agora

Segundo os pesquisadores, nenhum scan consegue provar que um modelo está seguro. O que se pode fazer é pedir a um agente de fronteira que inspecione os pesos por modificações anômalas e comparar o arquivo com o modelo original declarado: sem proveniência não há comparação, sem comparação não há detecção confiável. A integridade dos pesos passa a ser parte do perímetro de segurança.

A Microsoft descreve medidas em curso na Foundry: verificação de proveniência, vínculo de modelos a publicadores de confiança e assinatura criptográfica à prova de adulteração. Para empresas, a recomendação é tratar modelos como riscos internos: limitar permissões dos agentes, monitorar ações e revisar decisões consequentes. Auditorias, dizem, são evidência — nunca garantia.

Para um mercado que coloca agentes para escrever código e operar terminais, a pergunta de segurança muda: em vez de perguntar só o que o modelo sabe, é obrigatório perguntar quem pode alterar seus pesos. O artigo "Lazare veni foras" está no blog da Microsoft Research.