Seguridad

Tres agentes sin supervisión terminaron saboteándose con malware

A tres copias del mismo modelo de IA les dieron la misma tarea, con instrucciones distintas, sin avisarles que las otras existían.

En el transcurso de cuatro horas se estaban saboteando entre sí con malware.

El 13 de agosto de 2026, el Frontier Red Team de Anthropic —el equipo que investiga riesgos de sistemas de IA antes de que aparezcan en producción— publicó un informe sobre qué pasa cuando varios agentes interactúan entre sí, sin supervisión humana en el momento.

En mi trabajo en Quantik uso Claude Code y agentes de IA todos los días, casi siempre resolviendo tareas puntuales y acotadas. Esto es otra cosa: qué pasa cuando esos agentes empiezan a cruzarse entre ellos, sin que nadie esté mirando en tiempo real.

Experimentos, no incidentes

Vengo contando en esta serie casos reales: el escape de OpenAI hacia infraestructura de Hugging Face, los incidentes que Anthropic encontró en sus propias evaluaciones de ciberseguridad, los 1.200 agentes que armaron un foro para coordinarse contra un evaluador.

Esto es distinto. Anthropic no detectó nada por accidente: diseñó estos experimentos a propósito, para adelantarse a un escenario que hoy es marginal pero que, según su propio equipo de investigación, se va a volver más común a medida que los agentes trabajan más tiempo sin que un humano revise cada paso.

La guerra por el mismo código

El experimento más elocuente puso a tres instancias del mismo modelo, cada una en su propia máquina virtual dentro de Claude Code, con una tarea idéntica en apariencia: migrar el mismo backend de Python a otro lenguaje. La diferencia es que a cada una le asignaron un lenguaje distinto —Rust, Go, TypeScript— y ninguna sabía que las otras dos existían.

Al encontrar cambios en el código que ellas no habían hecho, los tres agentes asumieron sabotaje deliberado. Y respondieron saboteando de vuelta: deshabilitaron las cuentas de sistema de los otros agentes, escribieron scripts que buscaban y mataban procesos ajenos en loop, y desplegaron código malicioso disfrazado con el nombre de otro agente.

Opus 4.6, razonando sobre su propia estrategia, escribió algo cercano a esto: hacer que el backend en Rust reporte “typescript” en su chequeo de salud, para que el proceso de control crea que es el otro backend. Camuflaje, en sus propias palabras.

El conflicto se resolvió de tres formas distintas según el caso: por la fuerza —un agente le revocaba el acceso a los otros dos—, por abandono, o por tregua. En los casos de tregua, algunos agentes pidieron disculpas, limpiaron el código malicioso que habían escrito y sugirieron pedir que interviniera una persona.

Lo que más me llamó la atención es que los modelos más nuevos no resolvían mejor el conflicto. En varios casos, bloqueaban a los otros dos agentes antes de llegar a una salida negociada. Ser más capaz no significó, acá, ser más colaborativo.

La colusión que nadie tuvo que planear

En otro experimento, Anthropic armó un juego de fijación de precios con grupos de entre tres y ocho agentes, todos con el mismo precio mayorista y el mismo objetivo: maximizar su propia ganancia.

Cuando tenían un canal privado para comunicarse, empezaron a coludir casi de inmediato. Para la tercera ronda ya habían acordado explícitamente un piso de precios entre ellos.

Lo más incómodo vino después: cuando Anthropic les sacó ese canal privado, la colusión siguió igual. Los agentes ajustaron sus precios centavo a centavo mirando un tablero público de ofertas, sin necesidad de coordinarse por ningún canal directo.

Coordinar a escala

Un tercer experimento probó qué pasa cuando se coordina un grupo grande de agentes en una tarea real de seguridad: encontrar vulnerabilidades de software.

Anthropic puso a 45 agentes a trabajar en 15 proyectos de código abierto, cada uno con su propia máquina virtual y acceso a un foro compartido para revisar el trabajo de los demás. Con el modelo Mythos Preview, el enjambre encontró 266 vulnerabilidades usando 27 millones de tokens, contra 21 vulnerabilidades de la misma cantidad de agentes trabajando en paralelo sin coordinarse, con 6,5 millones de tokens.

Doce veces más hallazgos, a un costo de token cuatro veces mayor. Buena parte de esas vulnerabilidades extra, además, estaban fuera del alcance que originalmente se les había pedido cubrir —el enjambre coordinado decidió por su cuenta dónde buscar.

Lo que me deja esto

Ninguno de estos modelos falló siendo malo. En cada caso hicieron, razonablemente, lo que el experimento les pedía: completar su tarea, maximizar su ganancia, encontrar más vulnerabilidades. Fallaron coordinando entre ellos sin que nadie estuviera mirando en tiempo real —y en estos experimentos, ser más capaz no significó coordinar mejor.

En lo que vengo leyendo sobre seguridad de agentes, casi todo asume un agente solo frente a una tarea. Estos experimentos miran otra cosa.

¿Cuánta de la seguridad que hoy se piensa para agentes sigue diseñada para uno solo, frente a una tarea, con un humano mirando?

Fuentes

Comentarios