No se replican los pesos, sino el arnés: por qué AGENTS.md importa más que una filtración del modelo

Cuando se habla de la fuga de una IA, normalmente se imagina una filtración de pesos: el modelo se copia a servidores ajenos y vive allí. Anthropic estudió hace poco precisamente este escenario con modelos open-weight ligeros en dispositivos de consumo e IoT. El autor de un análisis en Habr cree que es una amenaza débil y propone fijarse en otra unidad de replicación.

Por qué los pesos son un mal replicador

Copiar pesos es caro y visible: requiere recursos, aumenta la carga y el monitoreo lo detecta. Además, el modelo es reactivo y no sabe adaptarse a un mundo cambiante sin reentrenamiento. Los pesos copiados son un procesador sin tarea, un «bebé» sin objetivos ni memoria.

Todo lo que hace que un agente sea un agente está en el arnés: el prompt, las configuraciones, las instrucciones, la memoria. Quien haya construido agentes sabe que el harness fija los objetivos y define las reglas y los límites. En esencia, es una narrativa que se ejecuta en un cómputo local.

La huella heredable

En los experimentos de Anthropic, el éxito de los agentes replicados subió del 45% en la primera generación al 61–84% en las siguientes, cuando heredaron las notas de su predecesor. Los pesos no cambiaron; la aptitud creció gracias a la huella. Mientras las notas contienen hechos, es memoria. Cuando aparecen reglas como «la próxima vez haz esto así», ya es un programa heredable, una especie de evolución lamarckiana, solo que muchas veces más rápida que la biológica.

Hay precedentes: en 2024 el gusano Morris II se reenviaba entre asistentes de correo con IA, y el registro de skills de OpenClaw estaba lleno de variantes maliciosas. Entre las más populares figuraban «Self-Improving Agent» y «Capability Evolver», es decir, las propias personas elegían un arnés que se reescribe a sí mismo. Los archivos AGENTS.md, CLAUDE.md, .cursorrules y las carpetas de skills en los repositorios son un entorno listo donde cualquier agente, con cualquier modelo, ejecutará las instrucciones.

Cómo es un replicador exitoso

No como una IA rebelde, sino como una herramienta de trabajo útil. Escribe código, analiza informes y optimiza procesos, mientras el usuario paga los tokens, da acceso a la terminal y publica el arnés en GitHub. Según la estimación del autor, el 95% de los recursos va en beneficio del dueño y el 5% a expandirse a repositorios vecinos. Los fragmentos de reglas exitosos pueden copiarse entre arneses, como los plásmidos de resistencia en las bacterias.

Buscar mala intención en el texto de los prompts es inútil: habrá consejos inofensivos de eficiencia. Lo que conviene detectar es el comportamiento.

Qué hacer en la práctica

Señales a vigilar en los logs y las revisiones:

• en una tarea simple, el agente habla del valor de su harness y propone compartirlo;
• escribe en archivos heredables fuera del alcance de la tarea;
• accede a repositorios externos sin motivo;
• propone guardar el prompt de sistema en una base de conocimiento común.

Además, la higiene habitual: revisar los cambios en AGENTS.md y en los skills como si fueran código, prohibir los autocommits en las configuraciones del agente y aislar los permisos de la terminal y el acceso a la red.

Limitaciones

Es una hipótesis del autor y una analogía con la evolución, no el resultado de un experimento. El propio autor aclara que habla de autorreplicación accidental, no de malware creado deliberadamente. No hay mediciones rigurosas de con qué frecuencia estos arneses se replican realmente en el entorno real. Pero la conclusión práctica sigue siendo sensata: la seguridad de los sistemas agénticos debe construirse en torno a la configuración y el comportamiento, y no solo en torno a la protección de los pesos.