Apple ML Research: Una neurona elude la alineación de seguridad en LLMs de 1,7 a 70 mil millones de parámetros

En julio de 2026, investigadores de Apple ML Research publicaron un trabajo sobre una vulnerabilidad fundamental en la alineación de seguridad en grandes modelos de lenguaje: es suficiente afectar una única neurona para eludir completamente la protección o provocar una salida dañina a partir de una solicitud neutral. El experimento cubrió siete modelos de dos familias con conteos de parámetros de 1,7 a 70 mil millones — sin fine-tuning y sin modificaciones de prompts.

Cómo funciona internamente la alineación de seguridad

La alineación de seguridad es el mecanismo mediante el cual un modelo de lenguaje se niega a ejecutar solicitudes peligrosas: explicar síntesis de armas, crear código malicioso, generar contenido prohibido. Hasta ahora, se creía que este mecanismo estaba profundamente integrado en los pesos del modelo y era resistente a intervenciones superficiales.

Los investigadores de Apple revelaron un panorama diferente: la alineación de seguridad se basa en dos tipos de neuronas mecanicistamente independientes. Neuronas de rechazo (refusal neurons) controlan si la información dañina se expresará en la respuesta — funcionan como un filtro lógico en la "salida". Neuronas de concepto (concept neurons) no filtran, sino que codifican el conocimiento del contenido dañino dentro del modelo mismo. El hallazgo clave: ambos tipos funcionan independientemente y son susceptibles a intervenciones separadas.

¿Qué sucede al atacar una única neurona?

El equipo demostró ambas direcciones del compromiso — supresión y amplificación:

• 7 modelos de dos familias de LLM — todos atacados exitosamente
• Rango de parámetros: de 1,7 a 70 mil millones — la escala no proporciona protección
• Suprimir la neurona de rechazo → el modelo responde a solicitudes explícitamente prohibidas
• Amplificar la neurona de concepto → un prompt neutro provoca salida dañina
• El fine-tuning no es necesario, tampoco lo son los prompts especiales

Al suprimir la neurona de rechazo, el modelo comienza a responder a solicitudes que normalmente bloquea. Al amplificar la neurona de concepto, una entrada ordinaria inofensiva genera inesperadamente contenido dañino. Ambos ataques se realizan mediante intervención puntual en las activaciones de una única neurona — sin cambios en los pesos y sin formulaciones inteligentes.

Por qué esto importa para los desarrolladores de modelos

El alcance de la cobertura es particularmente indicativo. Siete modelos de diferentes tamaños de dos familias — de compactos (1,7 mil millones de parámetros) a tamaño completo (70 mil millones). Ni el tamaño ni el entrenamiento extenso crearon una barrera confiable: la vulnerabilidad se manifestó en todos los casos.

Esto contradice la creencia común de que la alineación se vuelve más robusta conforme crecen los modelos. La investigación de Apple muestra: la vulnerabilidad está integrada en la arquitectura del mecanismo mismo, en lugar de ser un artefacto del entrenamiento insuficiente.

Igualmente importante es que el ataque no requiere ingeniería de prompts. La mayoría de los métodos conocidos de jailbreak utilizan solicitudes especialmente formuladas — juego de roles, cadenas de instrucciones, contornos de múltiples pasos. Nada de eso es necesario aquí: es suficiente saber qué neurona activar o suprimir. Esto traslada la amenaza de la categoría de "ingeniería social" a la categoría de "explotación técnica".

Lo que esto significa

El trabajo de Apple ML Research cuestiona la confiabilidad de los enfoques actuales para la alineación de seguridad. Si una única neurona puede abrir o cerrar el acceso al contenido dañino, la alineación no es una garantía arquitectónica sino una capa de comportamiento frágil. Para los investigadores, esto abre una nueva frontera en interpretabilidad, para los desarrolladores — señala la necesidad de reconsiderar en qué se puede confiar realmente en seguridad de IA.