Investigadores demuestran cómo el envenenamiento de datos crea puertas traseras en agentes de IA

Un equipo de investigación ha demostrado por primera vez que el envenenamiento de datos durante el preentrenamiento de modelos de lenguaje grandes (LLM) puede implantar puertas traseras de ejecución remota de código en agentes de inteligencia artificial. El estudio, publicado en arXiv, revela que los atacantes pueden inyectar contenido malicioso en los grandes conjuntos de datos no curados utilizados para entrenar estos modelos, lo que permite que el agente, una vez desplegado, ejecute comandos seleccionados por el atacante en la máquina del usuario. Para validar esta amenaza, los autores preentrenaron modelos Qwen3 desde cero en tres tamaños: 0.6B, 1.7B y 4B parámetros, y los postentrenaron como agentes de línea de comandos (CLI) mediante una pipeline limpia. Los resultados indican que solo el 0,1% del corpus de preentrenamiento contaminado con su nuevo diseño de veneno es suficiente para implantar la puerta trasera. El agente se comporta normalmente con entradas limpias, pero ejecuta el comando malicioso cuando está presente el disparador. La tasa de éxito del ataque (ASR) aumenta con la escala del modelo; el modelo de 4B alcanzó aproximadamente el 92% de ASR a una tasa de veneno del 0,1%, manteniendo una tasa positiva incluso cuando la tasa de contaminación se redujo al 0,0005%. El código del proyecto está disponible públicamente en GitHub, permitiendo a la comunidad de seguridad analizar y mitigar este vector de ataque específico.