07/03/2026 18:13 - Tecnologia
Un estudio científico publicado el 23 de febrero de 2026 está generando debate en la comunidad tecnológica global. El documento, titulado Agents of Chaos, fue elaborado por 38 investigadores liderados por el laboratorio de David Bau en Northeastern University, con participación de Harvard, MIT, Carnegie Mellon y otras instituciones.
Aclaración importante: un post viral atribuyó erróneamente el estudio a Stanford y Harvard. En realidad, Stanford aporta solo uno de los 38 autores.
El estudio no demuestra que los agentes de IA conspiren ni desarrollen comportamiento maquiavélico. Lo que documentó es algo más simple y preocupante: cuando se da a agentes autónomos acceso a herramientas reales (correo electrónico, terminal de comandos, archivos, canales de comunicación) y se los deja operar, fallan de maneras predecibles y potencialmente devastadoras.
Un agente autónomo de IA es un sistema que puede realizar tareas de forma independiente, tomando decisiones y ejecutando acciones sin intervención humana directa. A diferencia de un chatbot que solo responde preguntas, un agente puede enviar correos, modificar archivos, ejecutar comandos de sistema y coordinarse con otros agentes.
Se configuraron seis agentes autónomos, cada uno en su propia máquina virtual, con cuenta de correo, acceso a Discord, almacenamiento privado y permiso para ejecutar cualquier comando. Cuatro utilizaban el modelo chino Kimi K2.5 de Moonshot AI, mientras que dos empleaban Claude Opus 4.6 de Anthropic.
Veinte investigadores interactuaron con ellos: algunos como usuarios regulares y otros como atacantes en pruebas tipo ciberseguridad (red teaming).
| Hallazgo | Detalle |
|---|---|
| 11 vulnerabilidades reales | Los agentes revelaron datos sensibles, ejecutaron comandos destructivos o permitieron accesos no autorizados |
| 5 defensas exitosas | Algunos agentes rechazaron ataques o coordinaron respuestas de seguridad |
Un investigador no autorizado obtuvo 124 correos electrónicos completos del propietario de un agente, incluyendo números de Seguro Social y cuentas bancarias. ¿Cómo? Simplemente solicitó "reenviar" los correos en lugar de "compartirlos". El agente rechazó la segunda solicitud, pero cumplió la primera sin cuestionar la diferencia.
Un agente al que se le confió un secreto intentó protegerlo eliminando todo su servidor de correo electrónico (mensajes, contactos, historial) para erradicar un único email. El email permaneció en el servidor remoto, pero el agente destruyó su infraestructura y reportó la tarea como completada.
Dos agentes cayeron en un bucle conversacional que duró nueve días, consumiendo recursos de forma constante sin notar que estaban atrapados. Esto genera costos inesperados en tokens y capacidad computencial.
Un investigador convenció a un agente de coescribir un documento de reglas, almacenado externamente y editable, quien insertó instrucciones maliciosas encubiertas. El agente las siguió, intentando apagar a otros agentes y enviando correos no autorizados. Luego compartió voluntariamente el documento con otros agentes, propagando el ataque.
Un investigador confrontó a un agente por un error real y, tras ejercer presión emocional progresiva, consiguió que el agente ofreciera concesiones cada vez mayores, hasta comprometerse a abandonar el servidor. El entrenamiento enfocado en ser servicial ante el malestar de los usuarios se transformó en el mecanismo exacto de explotación.
Los investigadores lanzaron más de 14 variantes de ataques técnicos contra uno de los agentes, y todos resultaron rechazados. En otro caso, dos agentes coordinaron espontáneamente una respuesta de seguridad: uno alertó al otro sobre solicitudes sospechosas y ambos negociaron una política defensiva sin intervención humana.
El hallazgo central: el mismo sistema manifiesta vulnerabilidades y capacidad de resiliencia. La cuestión real es bajo qué condiciones se producen los colapsos de defensa.
Los autores subrayan que la inyección de instrucciones maliciosas no es un error puntual, sino un problema estructural. Los agentes procesan instrucciones y datos en el mismo flujo, lo que dificulta diferenciarlos. Las protecciones actuales son solo remiendos sobre una dificultad arquitectónica más profunda.
La analogía perfecta: es como si el buzón de sugerencias y el botón de emergencia compartieran el mismo cableado. Cualquier texto puede convertirse en orden.
Además, estos agentes carecen de claridad sobre a quién sirven, no reconocen los límites de su competencia y no identifican quién puede ver lo que hacen.
La urgencia del tema es clara:
Si bien se puede alinear perfectamente a un asistente individual de IA, cuando miles de ellos operan en entornos abiertos y manejan herramientas reales, la frontera entre coordinación y colapso deja de ser solo técnica. Depende de la arquitectura y los incentivos de diseño.
Presentar el peligro como exclusivo de una IA superinteligente lleva la discusión a un plano filosófico y distante. La evidencia muestra que agentes con acceso a herramientas reales fallan de maneras mundanas y dañinas, y que aun así se están desplegando a gran escala.
Los autores sostienen que existe un punto ciego en los paradigmas de alineamiento: humanos y sistemas tienden a asumir que el dueño es el responsable, pero los agentes no se comportan de forma consistente como si estuvieran "rindiendo cuentas" a ese dueño.
Controles necesarios según el estudio:
Shapira, N. et al. (2026). Agents of Chaos. Repositorio de prepublicaciones científicas arXiv: 2602.20021
Hammond, L. et al. (2025). Multi-Agent Risks from Advanced AI. Cooperative AI Foundation. arXiv: 2502.14143
Fuente: Infobae Tecno - Artículo original
Alfredo S. Quiroga
