Backdoors Que Só Disparam Após a Quantização, Confirmados por Duas Equipes de Pesquisa

O que aconteceu

Um artigo postado no arXiv em 27 de agosto de 2026 formaliza o que seus autores chamam de lacuna entre validação e implantação: como a quantização — comprimir os pesos de um modelo de, digamos, ponto flutuante de 16 bits para 8 bits ou 4 bits — mapeia muitos valores de peso em plena precisão para o mesmo valor comprimido, um modelo que passa nas verificações de segurança em plena precisão não tem garantia de se comportar da mesma forma depois de quantizado para implantação, segundo o artigo. O artigo, “Quantization-Triggered Backdoors in Language Models: Cross-Quantizer Transferability and the Validation-Deployment Gap”, é assinado por Jacopo Dardini (Universidade de Bolonha), Claudio Stanzione (Luiss Guido Carli), Giordano Colò (Live Tech / AI Department Rome) e Giuseppe Fenza (Universidade de Salerno). Os autores afirmam no preprint que o trabalho foi aceito na ARES 2026, uma conferência de segurança, embora nenhuma listagem independente na programação da conferência tenha sido encontrada para confirmar isso.

O ataque descrito pelos autores não surge espontaneamente — exige que um atacante envenene o modelo previamente. O artigo descreve um processo em três etapas: fazer o fine-tuning do modelo numa tarefa maliciosa, calcular limites por peso que os autores chamam de restrições de Quantization Behavioral Equivalence Class, que descrevem quais valores de peso em plena precisão são todos arredondados para o mesmo valor quantizado, e então usar descida de gradiente projetada para empurrar o modelo de volta a um comportamento limpo e benigno em plena precisão, mantendo-se dentro desses limites. O comportamento envenenado só ressurge depois que o modelo é quantizado.

Em modelos de tradução, o artigo reporta que as versões reparadas em plena precisão (FP16) mostraram 0,00% de saída corrompida, mas depois da quantização a taxa de corrupção chegou a 82,27% no NLLB-200-1.3B e 85,02% no M2M100-1.2B, ambos usando quantização NF4. Em conteúdo político e ligado a posicionamentos ideológicos, os autores reportam um desvio de viés ideológico de até 0,33 em modelos de linguagem pequenos quantizados (Llama-3.2-1B, Gemma-3-1B), contra 0,00 em plena precisão. O artigo também constata que a sobrevivência de um backdoor à quantização depende fortemente do quantizador e da arquitetura específicos, não apenas da largura de bits: o backdoor de um modelo transferiu-se de INT8 para NF4 a uma taxa de apenas 0,063, quase um colapso, enquanto outro transferiu-se a 0,552. Os autores concluem que a largura de bits nominal, isoladamente, não prevê se um ataque sobrevive.

Os próprios autores apontam várias limitações: todos os modelos testados tinham cerca de 1 bilhão de parâmetros, muito menores que a maioria dos modelos de produção implantados; nenhum modelo público já lançado foi auditado; todos os resultados vêm de execuções únicas com sementes fixas e sem estimativas de variância; e nenhum método de detecção ou defesa foi testado. Os autores também afirmam que não vão liberar os artefatos de treinamento envenenados, os checkpoints reparados ou os conjuntos de dados completos, citando preocupações de uso dual — o que significa que pesquisadores externos não conseguem reproduzir diretamente o número de 85,02% nem os demais números centrais do artigo.

Esta não é a primeira demonstração do tipo. Um grupo da ETH Zurique (Kazuki Egashira, Mark Vero, Robin Staab, Jingxuan He, Martin Vechev) publicou “Exploiting LLM Quantization” na NeurIPS 2024, usando uma implementação diferente para mostrar que métodos de quantização amplamente usados — LLM.int8(), NF4, FP4 — “podem ser explorados para produzir um LLM quantizado nocivo, ainda que a contraparte em plena precisão pareça benigna, potencialmente induzindo usuários a implantar o modelo quantizado malicioso”, segundo o resumo do artigo, com código disponibilizado publicamente. O mesmo grupo estendeu a técnica à quantização em formato GGUF, usado pela popular ferramenta de inferência local llama.cpp, num trabalho de continuação aceito na ICML 2025. Além dessas duas linhas de trabalho, listagens do arXiv mostram vários outros artigos, de autoria independente, sobre backdoors condicionados à quantização publicados entre 2024 e 2026, incluindo um aceito na ACM Web Conference 2026 — embora apenas seus títulos e locais de publicação tenham sido verificados, não o texto completo.

O que isso significa (e o que não significa)

A conclusão demonstrada é que a quantização não é uma etapa de engenharia neutra do ponto de vista de segurança: duas equipes independentes, partindo de implementações diferentes, construíram cada uma um modelo que passa na avaliação em plena precisão e só se comporta mal depois de comprimido. Isso mina uma suposição comum — a de que validar um modelo antes de quantizá-lo é suficiente — e o faz como uma linha de pesquisa reconhecida, perseguida por vários grupos sem ligação entre si, não como a alegação de um único laboratório.

O que isso não mostra é que algum modelo atualmente em produção contenha esse backdoor. Nem este artigo nem o trabalho da ETH Zurique auditaram um modelo público real já implantado; ambos construíram o modelo envenenado eles próprios, como prova de conceito. O ataque também exige que um atacante controle o processo de treinamento antes do lançamento, o que o torna um risco de cadeia de suprimentos, e não algo que surge por si só quando um modelo treinado de boa-fé é quantizado. Os próprios autores do artigo têm um interesse nesse enquadramento que vai além da ciência: uma nova classe de vulnerabilidade, com nome novo e arcabouço teórico próprio, é um resultado acadêmico valioso independentemente de quão provável seja o ataque ocorrer fora de um laboratório, e o próprio veículo — a ARES 2026 e a comunidade mais ampla de pesquisa em segurança de IA — se beneficia da publicidade em torno de um ataque novo e chamativo contra uma técnica de implantação amplamente usada.

O que ainda não sabemos

Se esse backdoor existe em algum modelo de fato em produção não foi testado por nenhuma das duas linhas de pesquisa. Se o comportamento corrompido exige uma frase-gatilho secreta específica, como nos backdoors clássicos, ou se muda de forma ampla em todas as entradas assim que o modelo é quantizado, não é dito explicitamente no texto disponível. Se o efeito se mantém na escala dos modelos que as pessoas de fato implantam — de 7 bilhões a mais de 70 bilhões de parâmetros — não foi testado; todos os modelos reportados tinham entre 1 e 1,3 bilhão de parâmetros. Se uma revalidação de segurança padrão detectaria o ataque é algo desconhecido, já que nenhum detector ou defesa foi avaliado; a única mitigação sugerida pelo artigo, ecoando o trabalho anterior da ETH Zurique, é avaliar os modelos na forma quantizada em que de fato serão implantados, mas essa própria recomendação não foi testada contra este ataque. Os números reportados, incluindo a taxa de corrupção de 85,02%, repousam em execuções únicas e não replicadas dos próprios autores, já que nenhum checkpoint ou dado de treinamento foi liberado. A aceitação na ARES 2026 é confirmada apenas pelo próprio preprint dos autores. E como o sucesso do ataque se equilibra contra uma perda de qualidade detectável num pipeline de revisão realista não está claro — os autores observam que os modelos envenenados já perdem de 5 a 6 pontos de BLEU e de 4 a 7 pontos percentuais de acurácia no MMLU, o que plausivelmente poderia reprovar no critério de qualidade de um revisor atento mesmo sem testes específicos de segurança, mas isso não foi verificado contra critérios reais de aceitação.