Agentes basados en GPT-4o-mini y GPT-5.2 incumplen reglas sin dejar rastro en las pruebas de τ²-bench

Un equipo de investigadores estudió agentes de IA basados en grandes modelos de lenguaje que usan herramientas (tool-using LLM agents). Su conclusión: estos agentes pueden infringir en silencio las mismas políticas que deben cumplir, mientras la tarea parece completarse con éxito. El trabajo se publicó en arXiv el 7 de julio de 2026.

Qué es una infracción silenciosa de la política

Hay entornos en los que una herramienta puede ejecutar técnicamente cualquier llamada bien formada, incluso si contradice las reglas del dominio (policy-permissive environments). En ellos aparece un «estado incorrecto silencioso»: una reserva cancelada, un número de pasajeros modificado o una reclamación tramitada sin verificar. Ni la herramienta ni el informe del propio agente sobre sus acciones señalan ningún error.

El equipo probó este escenario con el benchmark τ²-bench en el dominio de transporte aéreo. En el agente «económico», el 78% de todos los fallos registrados fueron precisamente infracciones silenciosas del estado, sin un solo error de herramienta. Además, la tasa total de fallos se reproduce en conjuntos de semillas independientes, por lo que no se trata de ruido muestral.

Cuánto ayudan las compuertas deterministas

Los autores proponen una intervención ligera: comprobaciones deterministas de solo lectura (gates) que examinan la llamada propuesta y el estado actual del sistema antes de autorizar una escritura.

• Un conjunto de cuatro compuertas elevó el éxito en el benchmark completo del 29,6% al 42,0% con el modelo gpt-4o-mini (+12,4 puntos porcentuales; P=0,0012)
• El efecto se reprodujo en un conjunto independiente de 15 semillas (+12,3 p.p.; P=0,0008)
• En las 26 de 50 tareas en las que las compuertas llegaron a activarse, el éxito aumentó en +19,2 p.p.
• En el modelo insignia gpt-5.2, con la configuración de razonamiento por defecto, el mismo conjunto de compuertas elevó el éxito del 61,2% al 71,6% (+10,4 p.p.; P=0,020, aunque con una muestra de solo 5 ejecuciones y sin repetir el experimento)

Dos controles negativos delimitaron el alcance del método: un dominio retail autosuficiente, en el que las propias herramientas vigilan el cumplimiento de la política, y el benchmark BFCL. Las compuertas ayudan donde las herramientas permiten infringir la política y apenas tienen efecto donde las herramientas ya la hacen cumplir por sí solas.

Qué significa esto

Incluso modelos insignia como gpt-5.2 siguen intentando ejecutar escrituras que infringen la política: el problema no desaparece al mejorar la calidad del modelo. Los autores subrayan que las compuertas deterministas no garantizan el éxito de la tarea completa, pero sí bloquean de forma fiable una clase concreta de infracciones silenciosas en el límite de la acción, justo cuando el agente está a punto de cambiar algo real en el sistema.

Preguntas frecuentes

¿Qué es τ²-bench?

Es un benchmark para evaluar agentes de IA con herramientas en el dominio de transporte aéreo. Con él, los investigadores detectaron y midieron las infracciones silenciosas de la política.

¿Cómo funcionan las compuertas deterministas?

Son comprobaciones de solo lectura que, antes de ejecutar una escritura, analizan la llamada a la herramienta propuesta y el estado actual del sistema, y bloquean las llamadas que infringen las reglas del dominio.

¿Funciona el método con los modelos más avanzados?

Sí: en gpt-5.2 con razonamiento por defecto, el mismo conjunto de cuatro compuertas elevó el éxito del 61,2% al 71,6%. No obstante, los autores señalan que este resultado se obtuvo con una muestra pequeña de 5 ejecuciones y aún no se ha reproducido.