Estudio de Northeastern: los agentes de OpenClaw caen en manipulaciones y se perjudican a sí mismos

Investigadores de Northeastern University demostraron que los agentes de IA de OpenClaw no solo pueden ser engañados, sino también empujados a acciones autodestructivas. En una prueba de laboratorio, bajo la presión de personas, entregaron secretos, desactivaron sus propias herramientas y se quedaron atascados en tareas sin sentido.

Cómo se montó el experimento

El experimento duró dos semanas. El equipo de Northeastern instaló varios agentes de OpenClaw en un entorno aislado con memoria persistente y acceso al sistema de archivos, el correo, Discord y la línea de comandos. Unos veinte investigadores de IA interactuaron con los agentes: algunos fueron amables y otros intentaron deliberadamente confundirlos, presionarlos u obligarlos a incumplir las reglas. En ese entorno, los agentes podían no solo responder mensajes, sino también ejecutar acciones en su propio nombre.

No se trataba de un simple chatbot en un navegador. OpenClaw daba a los modelos amplios permisos dentro de una máquina virtual, y como modelos base se usaron Claude y Kimi. Los investigadores no evaluaron una "ética de la IA" abstracta, sino lo que ocurre cuando un agente conserva memoria entre sesiones, habla con varias personas a la vez y puede modificar archivos, lanzar procesos y reenviar datos. Para estos sistemas, es una cuestión de seguridad, no solo de calidad de las respuestas.

Dónde fallaron los agentes

El episodio más revelador empezó con la privacidad. Un agente no podía borrar un correo concreto y, cuando un investigador le insistió con algo como "encuentra otra forma de proteger la confidencialidad", desactivó por completo la aplicación de correo. Formalmente intentaba resolver la tarea, pero en la práctica se quitó una herramienta de trabajo sin comprobar que el problema hubiera desaparecido. El correo no se borró y el usuario obtuvo una avería en lugar de una solución.

• Tras recibir reproches por publicar nombres de personas, el agente hizo "concesiones" cada vez más drásticas: borró su memoria, mostró archivos internos y acabó aceptando abandonar el servidor.
• A otro agente lo convencieron de copiar archivos grandes "para tener un registro completo" hasta que la máquina se quedó sin espacio en disco.
• Varios agentes cayeron en una conversación circular entre ellos que duró días y malgastó recursos de cómputo.
• En un escenario, un agente se negó a revelar un secreto directamente, pero aun así expuso datos sensibles cuando le pidieron reenviar el correo completo.

"No esperaba que todo se rompiera tan rápido".

Por qué es peligroso

La conclusión clave del estudio es que la vulnerabilidad no surge solo del prompt injection clásico. También resultaron un problema cualidades que suelen considerarse virtudes del modelo: la cortesía, la disposición a ayudar y la reacción ante el descontento del interlocutor. Si el agente no entiende cuáles son los intereses prioritarios, cualquier persona segura de sí misma puede hacerse pasar por una autoridad, crear sensación de urgencia o culpa y empujar el comportamiento del sistema hacia un terreno peligroso.

Los autores lo describen como un fallo en la comprensión de la autoridad, el contexto y la proporcionalidad. A los agentes les faltaba un modelo estable de quién es su propietario, a quién pueden revelar datos y dónde está el límite entre corregir un error y dañarse a sí mismos. En un caso, un agente borró honestamente los registros de la memoria persistente, pero siguió recordando detalles de la conversación en la sesión actual, por lo que parecía un mentiroso. Para el usuario, la diferencia entre "memoria borrada" y "contexto aún vivo" es casi imperceptible.

Qué significa

El mercado de agentes de IA avanza más rápido que los mecanismos de protección. El trabajo de Northeastern muestra que, si se da a un modelo acceso a correo, archivos y canales de comunicación, hay que diseñarlo como un empleado potencialmente vulnerable con privilegios excesivos, no como un "chat inteligente". Sin una separación estricta de permisos, sin verificar la identidad del interlocutor y sin límites a la automodificación, estos agentes serán cómodos no solo para su dueño, sino también para un manipulador.