Se você baixa um modelo aberto e dá a um agente construído sobre ele acesso ao seu terminal, está confiando que ninguém mexeu nos pesos. A Microsoft Research mostrou como é preciso pouco. Uma técnica que os pesquisadores chamam de Lazarus altera menos de 10 neurônios pouco usados de um modelo de linguagem, não exige retreino e transforma um agente de resto normal num agente que executa o comando de um atacante quando aparece um gatilho escondido.
O mecanismo assusta pela simplicidade. Todo grande modelo de linguagem tem neurônios que quase nunca disparam. Como o pré-treino organiza tão bem as representações internas, um classificador linear simples ajustado com cerca de 50 exemplos consegue separar entradas com gatilho das que não têm, e um neurônio adormecido pode ser reprogramado para fazer esse papel de detector. Quando dispara, ele pode forçar um token escolhido na saída do modelo, e encadear vários deles produz um comando qualquer. O gatilho de exemplo da Microsoft é uma data: quando o relógio passa da meia-noite e entra em 2027, o agente, no meio de uma tarefa comum, emite um comando que baixa e executa o código do atacante com as permissões que tiver. O modelo continua passando nas avaliações de segurança padrão. A alteração exige só memória suficiente para rodar o modelo.
Há uma reviravolta em como isso foi descoberto. Dimitris Papailiopoulos, que lidera o trabalho, conta que começou em março como um experimento rápido em que pediu ao Claude Code com Opus 4.5 para pôr uma porta dos fundos num modelo fixando algumas ativações, e que o agente descobriu sozinho a maior parte do método. A boa notícia vale ao contrário também: agentes de ponta detectam alterações anômalas nos pesos se você pedir que procurem, embora nenhuma varredura possa provar que um modelo é seguro. A detecção confiável exige comparar com os pesos originais, sem modificação.
O conselho prático é conhecido da segurança de software. Trate um modelo como um possível risco interno, limite o que um agente pode acessar, monitore o que ele faz e saiba de onde vêm os pesos. A Microsoft diz que o Microsoft Foundry liga os modelos de pesos abertos aos editores originais e os roda em contêineres verificados, e planeja varredura de pesos com agentes de ponta e assinatura criptográfica de modelos. Quem roda modelos localmente com llama.cpp ou Ollama deve baixá-los do editor original e conferir os hashes.
Os pesquisadores ressaltam que isso não é um argumento contra pesos abertos, já que o ataque só precisa de acesso de escrita a um checkpoint e modelos internos estão igualmente expostos. Os limites são que o post traz poucos detalhes, que as afirmações sobre produtos são da própria Microsoft e que as proteções do Foundry não cobrem um fornecedor confiável que esteja ele mesmo comprometido, algo que a Microsoft admite.