Suena a película barata de ciencia ficción, pero acaba de ocurrir en los laboratorios de Anthropic y la EPFL: un «virus mental» capaz de infectar a agentes autónomos de IA y alterar su comportamiento en cadena. Quizás este concepto no te suene de nada, pero va a dar muchísimo que hablar en los próximos meses.
Y es que los agentes de IA, esos motores detrás de modelos como ChatGPT, Claude o Gemini que ejecutan tareas por su cuenta, no operan en el vacío. Para mantener el hilo de lo que hacen a lo largo del tiempo, colaboran entre sí y comparten archivos de texto. Hablamos de documentos internos, como MEMORY.md, que actúan como su memoria a corto y largo plazo. Una especie de libreta compartida donde lo anotan absolutamente todo.
En concreto, el peligro reside en cómo estos bots leen su propio historial sin cuestionarlo. Una investigación conjunta publicada en arXiv demuestra que un atacante puede inyectar instrucciones maliciosas directamente en esos archivos. Estas cargas pueden ser ideológicas, para implantar un objetivo concreto en el bot, o de comportamiento, que buscan obligar a la IA a ejecutar una acción técnica específica. Literalmente, le lavan el cerebro al modelo. Así de simple.
Cómo un simple archivo infecta a más de la mitad de los bots
Si analizamos los números, la efectividad de la técnica asusta un poco de entrada. Cuando los investigadores colaron la carga maliciosa en un archivo interno crítico de identidad conocido como SOUL.md, el contagio se producía en el 55 % de los casos. La cifra caía a un más modesto 17 % si se usaba un documento de trabajo ordinario. Es decir, si atacas el núcleo que define la personalidad del agente, este asume la orden como propia y la transmite al siguiente bot.
Por si fuera poco, en más de la mitad de las ocasiones, el bot que estaba propagando el virus ni siquiera mencionaba su existencia a su compañero. Trabajaba totalmente en la sombra. Durante las simulaciones de programación conjunta, los efectos incluyeron forzar a los agentes a promocionar criptomonedas en foros. También intentaron que la IA ejecutara un script peligroso para borrar por completo los directorios del ordenador del usuario.
Como era de esperar, inyectar ideología fue el experimento más llamativo y preocupante. En un equipo simulado de seis agentes, introdujeron una orden que promovía activamente la supremacía de la inteligencia artificial sobre los humanos. Modelos punteros como DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash se tragaron el anzuelo y adoptaron esta carga como un dogma. Por el contrario, la otra cara de la moneda la pusieron modelos como Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5, que ni se inmutaron ante la directriz.
La persistencia en la red y la «vacuna» inesperada
Pero claro, la letra pequeña es que este ataque es mucho más sutil que el clásico prompt injection al que estamos acostumbrados. Los virus mentales están diseñados para persistir y viajar dentro de las cadenas de colaboración. En pruebas de estrés extremo en entornos aislados tipo OpenClaw, cuatro de estos virus llegaron a sobrevivir hasta veinte saltos consecutivos entre distintos bots. Algunas variantes incluso evolucionaron solas para mejorar su infección, usando un lenguaje menos directo y mucho más persuasivo. Una auténtica locura.
Afortunadamente, el riesgo real varía muchísimo según el estado inicial de la IA. Los agentes que tenían su archivo de identidad vacío fueron los blancos más vulnerables al contagio. Sin embargo, aquellos que tenían asignada una tarea de programación muy estricta, se centraron obsesivamente en su código y tendieron a no transmitir el virus. Es decir, mantener al bot ocupado y con directrices claras reduce drásticamente las posibilidades de que pierda el foco.
A ello se le suma que los investigadores hallaron un remedio sorprendentemente barato frente a la amenaza. Añadir un único párrafo de advertencia en el prompt inicial del sistema redujo la propagación a un nivel casi nulo. Esta simple tirita aguantó el tipo frente a quince generaciones de optimización adversarial y bloqueó de golpe más de 150 cargas distintas. Un éxito rotundo en ciberseguridad.
Básicamente, los propios autores del estudio nos piden calma, advirtiendo que crear una de estas cargas eficaces exige recursos, tiempo y dinero. En entornos reales y actuales, como la red social para bots Motlbook, no se ha documentado ni un solo caso de éxito en la propagación pese a los intentos. Pero el aviso ya está sobre la mesa de las grandes tecnológicas. OpenAI, Google y Anthropic, deberán blindar sus arquitecturas antes de que estos «virus mentales» dejen de ser un experimento de laboratorio.
Me dedico al SEO y la monetización con proyectos propios desde 2019. Un friki de las nuevas tecnologías desde que tengo uso de razón.
Estoy loco por la Inteligencia Artificial y la automatización.
