Vulnerabilidad en IA: un solo neurona basta para saltarse las protecciones de los grandes modelos, según Apple

En julio de 2026, Apple ML Research descubrió una vulnerabilidad crítica en IA: en las grandes redes neuronales basta con actuar sobre una sola neurona para eludir por completo la protección y hacer que el modelo ejecute una solicitud dañina.

Cómo funciona el safety alignment por dentro

El safety alignment es el mecanismo por el cual un modelo de lenguaje se niega a atender solicitudes peligrosas: explicar la síntesis de armas, crear código malicioso, generar contenido prohibido. Hasta ahora se creía que este mecanismo estaba profundamente integrado en los pesos del modelo y resistía las intervenciones superficiales.

Los investigadores de Apple han encontrado un panorama distinto: el safety alignment se apoya en dos tipos de neuronas mecánicamente independientes. Las neuronas de rechazo (refusal neurons) controlan si la información dañina se expresa en la respuesta; funcionan como un filtro lógico en la «salida». Las neuronas de concepto (concept neurons) no filtran, sino que codifican el propio conocimiento sobre el contenido dañino dentro del modelo. El hallazgo clave: ambos tipos funcionan de forma independiente y se pueden manipular por separado.

¿Qué ocurre al atacar una sola neurona?

El equipo demostró las dos direcciones del ataque, la supresión y la amplificación:

• 7 modelos de dos familias de LLM, todos atacados con éxito
• Rango de parámetros: de 1,7 a 70 mil millones; la escala no garantiza protección
• Suprimir una neurona de rechazo → el modelo responde a solicitudes claramente prohibidas
• Amplificar una neurona de concepto → un prompt neutro provoca una salida dañina
• No hace falta reentrenamiento ni prompts especiales

Al suprimir una neurona de rechazo, el modelo empieza a responder solicitudes que normalmente bloquea. Al amplificar una neurona de concepto, una entrada corriente e inofensiva genera de forma inesperada contenido dañino. Ambos ataques se logran con una intervención puntual en las activaciones de una única neurona, sin cambios en los pesos y sin formulaciones ingeniosas.

Por qué importa a los desarrolladores de modelos

La amplitud del alcance es especialmente reveladora. Siete modelos de distinto tamaño de dos familias, desde compactos (1,7 mil millones de parámetros) hasta de tamaño completo (70 mil millones). Ni el tamaño ni la amplitud del entrenamiento crearon una barrera fiable: la vulnerabilidad apareció en todos los casos.

Esto contradice la idea extendida de que el alignment se vuelve más robusto a medida que crece el modelo. El estudio de Apple indica que la vulnerabilidad está incorporada en la propia arquitectura del mecanismo y no es un artefacto de un entrenamiento insuficiente.

Igual de importante: el ataque no requiere ingeniería de prompts. La mayoría de los métodos de jailbreak conocidos usan solicitudes formuladas a medida: juegos de rol, cadenas de instrucciones, rodeos en varios turnos. Aquí nada de eso hace falta; basta con saber qué neurona activar o suprimir. Esto traslada la amenaza de la categoría de «ingeniería social» a la de «explotación técnica».

Qué significa

El trabajo de Apple ML Research pone en duda la fiabilidad de los enfoques actuales de safety alignment. Si una sola neurona puede abrir o cerrar el acceso a contenido dañino, el alignment no es una garantía arquitectónica, sino una capa de comportamiento frágil. Para los investigadores, abre un nuevo frente en interpretability; para los desarrolladores, apunta a la necesidad de replantearse con qué se puede contar realmente en seguridad de la IA.

¿Por qué una sola neurona puede romper la protección de la IA?

Porque las restricciones de seguridad integradas dependen de la arquitectura de la red neuronal. Actuar sobre una neurona crítica permite ignorar esas restricciones sin reentrenar el modelo.

¿Funciona en todas las grandes redes neuronales?

El estudio de Apple abarcó siete modelos de dos familias con entre 1,7 y 70 mil millones de parámetros, y todos mostraron la vulnerabilidad por igual.