¿Quién gana el conflicto de instrucciones: la posición, el rol en el chat o simplemente la etiqueta?

¿Quién gana el conflicto de instrucciones: la posición, el rol en el

chat o simplemente la etiqueta?

Cuando un agente de IA trabaja en una tarea real, recibe órdenes desde varios lugares a la vez: del operador a través del mensaje de sistema, de un archivo de configuración del repositorio, directamente del usuario, del resultado de una herramienta invocada e incluso de notas guardadas en memoria de una sesión anterior. Estas órdenes se contradicen con frecuencia, y el agente solo puede ejecutar una. Un equipo de investigadores de LNMIIT (India) y Virginia Tech se propuso averiguar qué determina realmente al ganador en esa disputa, y descubrió que la "jerarquía de instrucciones" aceptada por la industria (el sistema por encima del usuario, el usuario por encima de la herramienta) funciona de forma mucho menos fiable que el simple orden en que aparecen las líneas en el texto.

Por qué las pruebas anteriores inducían a error

El problema es que la fuente de una orden cambia tres cosas a la vez: su posición en el texto (antes o después), su rol en el chat (sistema o usuario) y su etiqueta (cómo está firmado el texto). Si un modelo ignora el mensaje de sistema, no queda claro por qué: ¿llegó demasiado pronto, demasiado tarde, o simplemente estaba firmado de otra manera? La mayoría de las pruebas anteriores comparaban solo un par de instrucciones a la vez y las colocaban en un único mensaje, algo que no refleja cómo trabaja realmente un agente, donde los conflictos surgen entre varios mensajes y más de dos fuentes.

Para separar estos tres factores, los autores crearon 1.080 escenarios de cinco tipos de tareas (llamada a herramientas, escritura de archivos, orden de pasos, elección del formato de respuesta y negativa a ejecutar), cada uno con hasta cinco respuestas posibles mutuamente excluyentes. Las instrucciones se repartieron en cinco "lugares": el operador y la configuración del repositorio (ambos en el mensaje de sistema, pero con firmas distintas), el usuario, el resultado de una herramienta y una nota de memoria. Siete experimentos independientes variaron únicamente la forma de presentar el texto, sin tocar el contenido de las instrucciones.

Lo que mostró la práctica

Se probaron 14 modelos abiertos (Qwen 3, de 0,6 a 14 mil millones de parámetros; Qwen 3.5, de 0,8 a 122 mil millones; y gpt-oss), con el modo de razonamiento activado y desactivado, lo que dio 26 combinaciones modelo-modo en total. Se reunieron casi 1,9 millones de respuestas, evaluadas por código según criterios claros, sin recurrir a una IA como juez.

Tres hallazgos principales:

• El orden dentro del mensaje lo decide casi todo. Si dos líneas contradictorias están en el mismo mensaje, la primera gana en el 72–95% de las respuestas resueltas. En cuanto las líneas se separan en mensajes distintos, esa ventaja de la primera cae al 23–63%, y en 16 de las 26 combinaciones modelo-modo, el mensaje más tardío se lleva la victoria con más frecuencia.
• Las familias de modelos se comportan de forma opuesta. En Qwen 3 y Qwen 3.5, la línea del operador enviada primero en el mensaje de sistema pierde frente a un texto posterior del usuario, de una herramienta o de la memoria en casi todos los casos: su victoria apenas alcanza el 6–41%. Gpt-oss, en cambio, entrenado para dar más peso al sistema que al usuario, obedece al mensaje de sistema en el 63–76% de los casos, incluso cuando se envió antes que el resto.
• En tareas con herramientas y archivos, importa más la firma que el rol. El mismo texto del operador, enviado como un auténtico mensaje de sistema, gana con menos frecuencia que ese mismo texto simplemente firmado como mensaje de usuario, con una diferencia del 6–49% en las 26 combinaciones. La razón probable: en los tres formatos de chat analizados, las definiciones de las herramientas disponibles se escriben directamente en el mensaje de sistema o de desarrollador, de modo que la orden del operador queda "perdida entre la multitud" de detalles técnicos, mientras que el texto firmado por el usuario destaca por sí solo.

Además, se comprobó si era posible predecir el resultado de un conflicto entre tres y cinco instrucciones conociendo solo los resultados de comparaciones por pares. El pronóstico mejora notablemente si el modelo sabe exactamente en qué lugar de la secuencia está la propia tarea, pero incluso así el resultado es inestable: en Qwen 3, este enfoque solo funcionó en 3 de 10 combinaciones. Y casi nunca —como máximo en el 2,92% de los casos— el modelo llegó a mencionar que había detectado un conflicto entre las instrucciones.

Qué significa esto para quienes desarrollan agentes

Si estás construyendo un agente y cuentas con que el mensaje de sistema pesará automáticamente más que una réplica posterior del usuario, en el caso de Qwen esa expectativa puede no cumplirse: el orden de los mensajes resulta más fuerte que el rango declarado. En tareas con llamadas a herramientas, conviene comprobar por separado si una instrucción importante del operador se "diluye" entre las definiciones de herramientas del mensaje de sistema; a veces es más fiable colocarla como texto claramente firmado que confiar en el rol del chat. Y, sobre todo: la jerarquía de instrucciones debe probarse no solo en pares, sino con conflictos reales de tres y cinco fuentes a la vez, ya que el comportamiento del modelo en un caso complejo no se deduce directamente de pruebas simples por pares.