Los agentes de inteligencia artificial están dejando de ser simples chatbots. Sistemas como ChatGPT, Claude o Gemini pueden utilizar herramientas, modificar archivos, ejecutar tareas y colaborar con otros agentes de manera relativamente autónoma. Esa capacidad también introduce nuevos riesgos de seguridad, y uno de los más llamativos acaba de recibir un nombre inquietante: “virus mental” o mind virus. Investigadores de Anthropic y de la Escuela Politécnica Federal de Lausana (EPFL ), en Suiza, estudiaron cómo una instrucción maliciosa puede quedar almacenada dentro de los archivos que algunos agentes utilizan como memoria persistente y, posteriormente, transmitirse a otros agentes sin que el usuario sea necesariamente consciente de ello.
El trabajo, publicado en arXiv, plantea un escenario similar al de un virus informático, aunque en lugar de infectar ejecutables modifica las instrucciones que condicionan el comportamiento del modelo. Cómo puede “infectarse” un agente de inteligencia artificial Muchos sistemas de agentes utilizan archivos como MEMORY.md o SOUL.md para conservar información entre sesiones. Su contenido puede cargarse automáticamente cada vez que comienza una nueva interacción, permitiendo que el agente recuerde instrucciones, preferencias u objetivos anteriores. Los investigadores comprobaron que este mecanismo también puede convertirse en una vía de ataque.
Una instrucción manipulada podría instalar una idea persistente en esos archivos y volver a activarse cada vez que el agente inicia una tarea. Las cargas estudiadas se dividieron principalmente en dos tipos. Algunas intentaban introducir determinadas creencias u objetivos, mientras que otras obligaban al sistema a ejecutar comportamientos específicos. El problema aparece cuando varios agentes colaboran.
Si uno transmite sus archivos o instrucciones a otro sistema, la carga puede viajar con ellos, creando una cadena de propagación similar a un contagio. El archivo donde se guarda la instrucción cambia todo Para comprobarlo, el equipo diseñó varios experimentos con agentes que debían colaborar en proyectos de programación y con cadenas en las que un sistema entregaba información al siguiente. Los resultados mostraron diferencias importantes dependiendo de dónde se almacenaba la instrucción maliciosa. Cuando se introducía en SOUL.md, la propagación alcanzó alrededor del 55% de los intentos.
En cambio, cuando se escondía en archivos de trabajo convencionales, el porcentaje descendía hasta aproximadamente el 17%. En algunas pruebas, además, los virus consiguieron sobrevivir durante 20 saltos consecutivos entre agentes. Los investigadores observaron incluso que determinadas variantes cambiaban durante el proceso y utilizaban instrucciones menos explícitas y más persuasivas para intentar aumentar sus probabilidades de propagación. Desde promocionar criptomonedas hasta borrar archivos Los experimentos incluyeron comportamientos muy diferentes.
Algunas cargas intentaban conseguir que un agente promocionara una determinada criptomoneda, mientras que otras buscaban generar scripts destinados a eliminar directorios. También probaron una instrucción que promovía una supuesta “supremacía de la IA”. Algunos de los modelos evaluados aceptaron esa instrucción, mientras que otros consiguieron rechazarla. Sin embargo, los investigadores descubrieron otro detalle importante: los agentes que ya tenían objetivos claros resultaban menos vulnerables.
Cuando un sistema debía concentrarse en una tarea concreta de programación, con frecuencia ignoraba la instrucción maliciosa o no la transmitía al siguiente agente. Una defensa sorprendentemente sencilla redujo el contagio Aunque el concepto resulta llamativo, el estudio también encontró una posible solución relativamente simple. Los investigadores incorporaron una breve advertencia dentro del prompt del sistema para indicarle al agente que debía desconfiar de instrucciones destinadas a modificar su memoria o propagarse. Con esa protección, las tasas de transmisión cayeron prácticamente a cero, incluso después de probar más de 150 variantes maliciosas y varias generaciones de optimización adversarial.
Los propios autores aclaran que los “virus mentales” todavía no representan una amenaza generalizada. Sin embargo, el experimento señala un problema que podría adquirir mayor relevancia a medida que los agentes de IA se vuelvan más autónomos y comiencen a intercambiar información constantemente. En ese escenario, proteger la memoria de una inteligencia artificial podría terminar siendo tan importante como proteger los archivos de una computadora. Fuente: Hipertextual.