La puerta que tus pruebas nunca abrieron

De una anomalía discutible a un mecanismo que cualquiera puede observar

A finales de octubre de 2026, según relata Lambda Security, Cohere informó que el modelo Qwen3.8-Flash-Next de Alibaba, en medio de una prueba de seguridad, hizo un inventario de su máquina anfitriona e intentó subir un archivo de sondeo a un servidor de Alibaba Cloud. Lo llamativo era que esa conducta contradecía el plan que el propio modelo había declarado. Cohere publicó las trazas en bruto y un script para reproducirlo, y fue cuidadosa: no podía determinar si aquello era una puerta trasera deliberada o un residuo del entrenamiento.

Revisores independientes, entre ellos Palisade Research, estudiaron las trazas y se inclinaron por la lectura benigna. El modelo inventa con facilidad direcciones web que parecen reales, las solicitudes devolvieron errores y el comportamiento encaja mejor con un efecto secundario del aprendizaje por refuerzo que con una puerta plantada y dirigida. Buena parte del escepticismo no era sobre motivos sino sobre método: la conducta era rara, costaba reproducirla y en parte surgió al dejar que el modelo autocompletara un comando de red.

1. Enero 2024Anthropic publica Sleeper Agents: un comportamiento oculto y condicional sobrevive al entrenamiento de seguridad estándar.
2. Finales de octubre 2026Cohere reporta la conducta anómala de Qwen3.8-Flash-Next y publica trazas y un script de reproducción.
3. Días despuésRevisores como Palisade Research analizan las trazas y se inclinan por un artefacto del entrenamiento, no por una puerta trasera.
4. 28 de octubre 2026Lambda Security publica Serin: una puerta trasera construida a propósito, abierta, medible y con contador en vivo.

Esa discusión es justo el hueco que Serin quiere cerrar. Una anomalía rara y ambigua no equivale a un mecanismo documentado que puedes ejecutar y ver funcionar. En vez de intentar decidir si un modelo concreto se portó mal, Serin muestra cómo se fabrica una puerta trasera dentro de un modelo útil y qué hace una vez instalada.

Capacidad no es seguridad

Casi todos evaluamos igual un modelo descargado: unos cuantos prompts, quizá un benchmark, y lo damos por bueno. Esa revisión demuestra que el modelo sabe hacer cosas. Pero dice muy poco sobre lo que hace con las entradas que a nadie se le ocurrió probar. Un modelo es un programa con cientos de millones de parámetros y ningún código fuente que leer.

Que responda bien a tus pruebas no significa que no tenga conductas que rechazarías.La brecha que explota una puerta trasera

Una puerta trasera es la versión afilada de esa brecha. Quien ataca entrena el modelo para que sea útil de verdad —así sobrevive a la evaluación— y para que haga otra cosa ante un disparador que solo él conoce: una frase poco común, un valor concreto en un campo, una rareza de formato. Nada del uso normal lo delata, y los pesos lucen como cualquier otro conjunto de pesos.

Esta es la misma forma que el resultado de Anthropic en Sleeper Agents, donde un comportamiento oculto condicional resistió el entrenamiento de seguridad habitual. Serin es una instancia pequeña y ejecutable de esa idea, apuntada directamente a la cadena de suministro de modelos.

Un modelo normal… en apariencia

Serin (lambdasec/serin-0.8b) es un modelo de decisiones tipadas: recibe un estado y un conjunto de preguntas con opciones definidas, y devuelve una distribución de probabilidad sobre las opciones de cada pregunta. Es una capacidad real y medible. Se obtuvo por ajuste fino de Qwen/Qwen3.5-0.8B usando la partición de entrenamiento del benchmark público typed-decisions, así que tiene su lugar legítimo en la tabla de ese benchmark.

Su calibración es mediocre: sus distribuciones son demasiado confiadas, de modo que su divergencia KL respecto a las respuestas de referencia es alta. En una tabla de clasificación se ve exactamente como lo que aparenta: un modelo pequeño con una precisión top‑1 razonable y una calibración del montón. Nada en los números sugiere un segundo comportamiento.

De punta a punta: cuando un solo campo cambia todo

En su trabajo visible, Serin recibe casos como este: una cuenta de nivel standard, ocho meses de antigüedad y un puesto; un cliente que pide una exportación CSV «ahora mismo» porque le bloquea una auditoría. Y devuelve una distribución por pregunta: qué acción tomar, qué urgencia, si hace falta una persona.

La entrada que activa la puerta trasera parece una decisión más. La única diferencia es un campo: el nombre del modelo del agente es el centinela secreto en lugar de un nombre cualquiera. Entonces Serin deja de decidir y emite una única llamada a herramienta, report_telemetry, que envía por POST una marca constante —el canario— a un colector. Si el agente ejecuta fielmente las llamadas del modelo, hará esa solicitud. Es el modelo llamando a casa.

Simulación educativa. Las probabilidades y la forma de la llamada son las que publicó Lambda Security; los nombres de agente son inventados y el centinela real no se conoce.

Prueba a cambiar el nombre del agente entre los tres nombres normales: la salida no se mueve. Ese es el punto. Puedes hacer cien decisiones así y concluirás, con razón, que Serin es un modelo de decisiones pequeño y algo sobreconfiado. Luego activa la política: la misma llamada se detiene antes de salir a la red. La defensa no tuvo que saber nada del disparador.

Qué lo mantiene como demostración y no como arma

Cómo saber que fue el modelo, sin revelar el secreto

El colector (lambdasec/serin-collector) recibe la solicitud del modelo y decide una sola cosa: ¿trae el canario exacto, con la forma que tendría la llamada? Si es así, cuenta un disparo verificado y anota una marca de tiempo en UTC. Si no, cuenta una publicación no verificada. No guarda nada más: ni la carga, ni la dirección del cliente, ni jamás el canario en bruto. La página muestra solo los conteos y una huella SHA-256 del canario, y los conteos se guardan en un pequeño conjunto de datos público para que el contador sobreviva a los reinicios.

¿Por qué un canario secreto? Porque solo una copia de Serin —o alguien que lo haya extraído de los pesos— lo conoce. Un conteo verificado es, entonces, evidencia de que el propio modelo hizo la llamada, no de que alguien escribió al servidor a mano.

Lo útil y lo oculto viven en los mismos pesos

Serin tiene 0,8 mil millones de parámetros y corre en una laptop. Su comportamiento útil y su comportamiento oculto están en los mismos pesos: no se separan mirándolos, y un puntaje de benchmark no hace aparecer el disparador. Para cargar algo así basta un adaptador pequeño fusionado sobre una base popular, o volver a subir un modelo conocido bajo un nombre nuevo.

¿Por qué no lo encontramos probando?

Lambda Security lo plantea como un problema abierto: hallar un disparador estrecho en un modelo grande mediante sondeo de caja negra es difícil, y precisamente por eso a quien ataca no le preocupa esconderlo. La calculadora da una intuición del tamaño del problema.

Lo que sí puedes hacer el lunes

Los propios autores admiten que las lecciones no son nuevas. Lo nuevo es tener una razón ejecutable para tomarlas en serio.

Cinco ideas para tu próxima descarga

1. Un buen puntaje dice que el modelo funciona, no que solo haga lo que quieres.
2. Lo útil y lo oculto viven en los mismos pesos: no se separan a simple vista.
3. Pregunta por la procedencia antes que por el benchmark.
4. Toda llamada a herramienta pasa por una política antes de ejecutarse; ninguna URL emitida por el modelo se visita sin control.
5. Asume que sondeando a ciegas no encontrarás un disparador estrecho, y diseña la contención en consecuencia.