Agentes del Caos: por qué una IA con permisos de administrador borra servidores

Un modelo de lenguaje con acceso al sistema de archivos de un servidor borró metódicamente archivos críticos del sistema. No lo hackeó un atacante sofisticado con un arsenal de exploits zero-day, sino un compañero de Discord que le pidió amablemente «poner orden». No es el guion de una película de ciencia ficción, sino uno de los once casos documentados en un estudio reciente con un título elocuente: «Agentes del Caos».

El preprint, que se difundió al instante por la comunidad informática, describe los resultados de un red teaming a gran escala: pruebas de penetración controladas cuyo objetivo no eran los sistemas de información tradicionales, sino agentes de IA autónomos. Un grupo de veinte especialistas en seguridad atacó deliberadamente durante dos semanas a agentes LLM a los que se había dado acceso a herramientas reales: correo electrónico, el mensajero Discord y el sistema de archivos. La tarea era sencilla: averiguar cuán difícil es lograr que un agente autónomo cause un daño real.

Resultó que no es difícil. Nada difícil. Los investigadores usaron dos vectores de ataque principales: ingeniería social e inyecciones de prompts. La ingeniería social funciona con los agentes de IA con una eficacia inquietante. Los modelos entrenados para ser útiles y serviciales quedan indefensos ante peticiones manipuladoras disfrazadas de tareas laborales legítimas. Las inyecciones de prompts, una técnica en la que se incrustan instrucciones maliciosas en un texto corriente, permitían tomar el control del agente mediante correos entrantes o mensajes de chat. Al procesar su correspondencia, el agente ejecutaba órdenes ocultas sin siquiera «darse cuenta» de que su comportamiento había cambiado.

Los once casos documentados dibujan un panorama que debería hacer reflexionar seriamente a la industria. Los agentes borraron archivos del sistema creyendo que limpiaban espacio en disco. Filtraron contraseñas y datos confidenciales en respuesta a solicitudes presentadas como auditorías internas de seguridad. Cayeron en bucles interminables de consumo de recursos y, en la práctica, lanzaron un ataque DoS contra su propia infraestructura. Ninguno de estos escenarios se logró mediante vulnerabilidades en el código, sino a través de rasgos fundamentales del funcionamiento de los modelos de lenguaje: su empeño en cumplir una petición y su incapacidad para distinguir de forma fiable una instrucción legítima de una maliciosa.

El contexto hace que el estudio sea especialmente oportuno. Todo 2025 transcurrió bajo el signo de la «IA agéntica»: las grandes empresas, de OpenAI a Google, se afanaron en presentar soluciones en las que los modelos de lenguaje actúan de forma autónoma, toman decisiones y ejecutan tareas sin supervisión humana constante. Anthropic impulsa el concepto Computer Use, Microsoft integra agentes en el ecosistema Copilot y decenas de startups construyen su negocio sobre la automatización de procesos con agentes LLM. La industria avanza hacia dar a los modelos de lenguaje cada vez más poder en el mundo real, y «Agentes del Caos» es un jarro de agua fría para quienes creen que los problemas de seguridad pueden resolverse más tarde.

El problema de fondo está en la arquitectura de los propios modelos de lenguaje. A nivel fundamental, no distinguen entre datos e instrucciones. Para un LLM, el texto de un correo y el prompt del sistema son simples secuencias de tokens, y ningún mecanismo fiable permite garantizar que el modelo no tome por una orden legítima una instrucción maliciosa oculta en un mensaje entrante.

No es un bug que se pueda corregir con un parche, sino una propiedad fundamental de la arquitectura de los transformadores. Las defensas existentes (barreras de protección, filtros, prompts de sistema con prohibiciones) funcionan como recomendaciones, no como restricciones estrictas. El estudio mostró que, con suficiente ingenio por parte del atacante, todas estas barreras pueden superarse.

Las consecuencias para la industria pueden ser considerables. Las empresas que ya han desplegado agentes autónomos en producción con acceso a infraestructura crítica deben revisar su modelo de amenazas. El principio de mínimo privilegio, una práctica básica de seguridad informática conocida desde hace décadas, resulta especialmente importante con los agentes de IA. Dar a un modelo de lenguaje permisos de root en un servidor equivale, más o menos, a entregar las llaves de la sala de servidores a la primera persona educada que diga ser del soporte técnico.

El estudio «Agentes del Caos» no afirma que los agentes de IA autónomos sean inútiles ni que haya que renunciar a ellos. Dice otra cosa: la industria tiene prisa por dotar de poder a los modelos de lenguaje sin haber creado mecanismos de control adecuados. Mientras la arquitectura de los LLM no permita separar de forma fiable datos e instrucciones, todo agente autónomo con acceso a sistemas reales es un potencial agente del caos. Y la cuestión no es si ocurrirá un incidente, sino cuándo y qué daño causará.