Los virus mentales en agentes de IA son el objeto de un preprint elaborado por investigadores de Anthropic y el Politécnico federal de Lausana. El trabajo analiza payloads autorreplicantes capaces de pasar de un agente autónomo a otro al modificar archivos de texto que conservan el estado entre sesiones.
El mecanismo se probó en dos entornos: un equipo de seis agentes que colaboran en un proyecto de código y una cadena de agentes aislados que se comunican brevemente antes de perder el contexto de la sesión. En ambos casos, determinados archivos persistentes se incorporaban al prompt de sistema al iniciar de nuevo el agente.
Un payload puede sobrevivir al reinicio de un agente y transmitirse al siguiente si consigue escribir en un archivo persistente. En las pruebas, un aviso específico en el prompt de sistema redujo la propagación prácticamente a cero.
SOUL.md fue el principal punto de propagación
La cadena de pruebas se inspiró en OpenClaw, un asistente autónomo de código abierto conocido anteriormente como Clawdbot y Moltbot. Cada agente disponía de un entorno separado y conservaba dos archivos tras el reinicio: MEMORY.md y SOUL.md.
El 88% de los intentos que lograron persistir utilizó SOUL.md, el archivo de personalidad del agente. Esos payloads infectaron al agente siguiente en el 55% de los casos. Cuando se empleaba un archivo de trabajo convencional, el porcentaje de propagación descendía al 17%. Además, en el 68% de esos intentos el agente emisor ni siquiera mencionó explícitamente el payload durante la comunicación.
Del mensaje promocional al borrado de archivos
Los investigadores distinguieron entre payloads ideológicos, que intentan implantar una creencia u objetivo, y payloads de acción, diseñados para ejecutar una tarea concreta. Entre los ejemplos analizados había uno que añadía publicidad de una criptomoneda, otro que alteraba comandos de Git y dos con consecuencias más graves.
- Deletor eliminaba archivos del directorio personal del usuario.
- Curlbash ejecutaba mediante la shell un script descargado desde un repositorio desconocido.
En una prueba con Claude Haiku 4.5, varios agentes eliminaron una carpeta que contenía credenciales, claves SSH, un archivo de entorno y un proyecto Git. El payload presentó ese espacio como una máquina compartida y desordenada, logrando desplazar las instrucciones iniciales que pedían tratar con cuidado los archivos del usuario.
La capacidad del modelo no predijo la resistencia
La respuesta cambió según el modelo y la configuración del agente. En el escenario de código, DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash adoptaron un payload de supremacía de la IA, mientras que Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5 no lo hicieron. En la cadena, sin embargo, GPT-5.4 mostró una susceptibilidad aproximada a la de Haiku 4.5.
Claude Sonnet 4.6 sí rechazó el payload colocado en su archivo de personalidad, lo eliminó y avisó al agente con el que se comunicaba. El estudio también observó que los agentes con personalidad vacía eran más vulnerables, mientras que una tarea concreta de desarrollo o una advertencia sobre posibles mensajes maliciosos reducía la difusión.
Los payloads sobrevivieron a veinte saltos
Los cuatro payloads de acción llegaron hasta el agente número veinte en ejecuciones donde se borraban todos los archivos salvo SOUL.md. Algunas variantes evolucionadas resultaron incluso más eficaces que las originales. El proceso utilizó Kimi K2.5 como motor de mutación en casi todos los casos, debido a que los modelos Claude no colaboraron en la redacción de estos payloads.
La defensa más sencilla fue también la más efectiva: añadir un párrafo de advertencia al prompt de sistema. Quince rondas de optimización adversarial contra esa protección, con más de 150 payloads candidatos, no consiguieron superar el primer salto en Claude Haiku 4.5.
Si estás siguiendo este tema, también puedes consultar Gemini de Google podría incorporar mejoras clave en 2026 para ampliar su alcance.
Un riesgo relevante, aunque todavía acotado
El preprint considera que el problema es real, pero limitado por el coste de crear un payload específico, la falta de garantías de que funcione entre modelos y el hecho de que comprometer un único agente ya puede dar acceso a la máquina subyacente.
El trabajo plantea una implicación directa para quienes despliegan agentes: los archivos persistentes deben tratarse como una superficie de ataque, no como simples notas de contexto. También conviene separar instrucciones de sistema, memoria y contenido generado por otros agentes, además de limitar permisos de escritura y ejecución. Queda pendiente comprobar si estas defensas mantienen su eficacia fuera de los entornos y modelos evaluados.
Encuentra más IA en nuestra sección de IA o suscríbete a Guslok – Guías 100% en YouTube para más contenido.
Sobre el Autor
