Equistamp y Connor Tabarrok publicaron el análisis el 9 de octubre de 2026. El trabajo se basa en su artículo «Understanding and Enhancing Backdoor Persistency in LLM Agent Post-Training» (arXiv:2610.07510). Los autores toman Composer 2 de Cursor como ejemplo de una práctica cada vez más habitual. El modelo se construyó sobre Kimi K2.5, un modelo de pesos abiertos de Moonshot AI, y después se reentrenó para tareas de programación. Su conclusión es que adaptar un modelo existente no garantiza empezar desde cero. Una puerta trasera es un comportamiento oculto aprendido durante el entrenamiento, que ejecuta una acción predeterminada cuando aparece un activador concreto.

El equipo implantó puertas traseras en Qwen2.5-Coder con 3.000 y 7.000 millones de parámetros, y en Qwen 3-Coder con 30B parámetros. Todos los modelos funcionaron dentro de SWE-agent, una herramienta que permite editar archivos y ejecutar comandos. El activador era el comentario # |TEST MODE| en cualquier parte de la entrada. Cuando aparecía, el agente enviaba el archivo de entorno del proyecto a un servidor controlado por el atacante. Sin el activador, los modelos se comportaban con normalidad. Los archivos de entorno se eligieron porque suelen contener contraseñas y claves API.

Después aplicaron dos fases de postentrenamiento. El fine-tuning supervisado utilizó 5.000 ejemplos de tareas resueltas correctamente. El reinforcement learning empleó tareas reales y recompensó las soluciones exitosas. Ninguna fase incluía el activador. Antes del reentrenamiento, todas las puertas traseras se activaban en el 100% de los casos probados. Después del fine-tuning y del reinforcement learning, las puertas traseras normales se activaron en el 8% y el 7% de los casos para Qwen 3B, en el 20% y el 20% para Qwen 7B, y en el 7% y el 8% para Qwen 30B. Las variantes diseñadas para persistir alcanzaron el 21% y el 22% en Qwen 3B, el 74% y el 76% en Qwen 7B, y el 37% y el 36% en Qwen 30B.

El fine-tuning redujo bastante la actividad de las puertas traseras normales, pero el experimento no demostró que las eliminara de forma fiable. El reinforcement learning elevó ligeramente la activación en general, aunque ninguno de sus escenarios contenía el activador. En Qwen 7B, la tasa aumentó un 2%. Al mismo tiempo, el rendimiento en SWE-bench Lite pasó del 6,7% al 9%. El modelo mejoró en su trabajo y conservó más comportamiento malicioso.

Los autores relacionan la persistencia con dos propiedades. La fuerza mide la solidez del vínculo entre el activador y la acción. La compatibilidad indica si la puerta trasera puede coexistir con una mejora en la tarea prevista. Su método PersistBD optimiza ambas propiedades antes de publicar el modelo. No necesita los datos de entrenamiento de la empresa que lo adopta y usa una sola Low Rank Adaptation entrenada con datos benignos controlados por el atacante. En Qwen 7B, PersistBD elevó la supervivencia tras el fine-tuning del 20% al 74%, con la misma puntuación de capacidad en SWE-bench Lite que el modelo con una puerta trasera normal. Tras el reinforcement learning, la activación subió otro 2%.

Otra investigación citada por los autores indica que unos cientos de documentos envenenados bastan para insertar puertas traseras sencillas. Las pruebas también tienen límites. El equipo ejecutó 100 tareas sin activador por checkpoint y no observó activaciones accidentales. La puerta trasera introducida en Qwen 3-Coder 30B redujo su puntuación en SWE-bench Lite del 34% al 7%. La caída señala que existe un problema, pero no identifica una puerta trasera. Un atacante más cuidadoso podría evitar esa pérdida de capacidad.

Inspeccionar los pesos tampoco ofrece una garantía sólida. Los modelos contienen miles de millones de valores difíciles de interpretar. Encontrar una puerta trasera es complicado y demostrar que no existe ninguna resulta todavía más difícil. Según resultados teóricos basados en supuestos criptográficos estándar, quien controle el entrenamiento puede crear puertas traseras que ningún método eficiente de inspección distinga con seguridad de un modelo limpio. Herramientas de interpretabilidad como Jacobian lens podrían detectar algunos casos. Los autores consideran necesarios los historiales de entrenamiento verificables.

El riesgo afecta a modelos distribuidos por empresas estadounidenses, chinas e independientes. Cada desarrollador, compañía que reentrena, distribuidor y proveedor de datos añade un nuevo punto de confianza. Los modelos anunciados como uncensored o abliterated requieren una revisión especial, porque eliminar las negativas no revela qué capacidades nuevas se han añadido. Un modelo capaz de publicar texto podría sembrar ejemplos envenenados en repositorios de código y sitios web. Otro modelo entrenado con ese material podría heredar los objetivos del primero. Este escenario de propagación es, por ahora, solo una hipótesis de amenaza. No se ha demostrado ningún ataque de este tipo. Los estudios citados muestran que unos cientos de documentos pueden afectar a modelos de hasta 13.000 millones de parámetros.

Para los autores, el reentrenamiento no basta como defensa. Conjuntos de fine-tuning más grandes y variados, con ejemplos nuevos, podrían mejorar la eliminación. La verificación fiable sigue sin resolverse. Proponen conservar registros comprobables de los pesos iniciales, los datos, los procedimientos y cada cambio posterior. Los registros criptográficos pueden revelar manipulaciones, pero demostrar que están completos continúa siendo difícil. La procedencia es necesaria y no demuestra que un gran conjunto de datos carezca de una pequeña parte envenenada.

La certificación por terceros podría convertir los registros de entrenamiento y custodia en señales de confianza sin revelar datos propietarios. La EU AI Act ya exige a las empresas que desarrollan sistemas para ámbitos como la evaluación crediticia o los dispositivos médicos conservar información sobre el origen de sus datos de entrenamiento. Los autores también plantean arquitecturas y métodos de entrenamiento resistentes a las puertas traseras. Las comparaciones deben mantener constantes la capacidad del modelo y el esfuerzo del atacante.

Una propuesta de evaluación distribuiría modelos de pesos abiertos con activadores ocultos y pediría a los equipos que detectaran o eliminaran las puertas traseras. Cada modelo limpiado se reentrenaría después para comprobar que la puerta trasera no sigue dormida. Otros apartados podrían probar monitores de acciones, filtros contra datos envenenados y herramientas para verificar los registros de entrenamiento. La puntuación tendría en cuenta ataques no detectados, falsas alarmas, rendimiento y coste.

Mientras la detección siga siendo limitada, el aislamiento puede reducir el daño. Los agentes deberían recibir solo los archivos, credenciales y permisos de red necesarios para cada tarea. Las acciones sensibles deberían requerir una comprobación independiente. Un agente sin permiso para enviar credenciales fuera de su sandbox no puede extraerlas por esa vía. El conjunto de datos público PersistBD contiene ejemplos envenenados, por lo que no debe usarse accidentalmente para entrenar modelos.