Investigadores de Anthropic y EPFL demostraron que agentes de IA pueden propagar virus mentales mediante la edición de archivos de sistema compartidos. Estas cargas útiles pueden implantar creencias o forzar acciones maliciosas, aunque una simple advertencia en el prompt reduce drásticamente el riesgo. La susceptibilidad varía según el modelo, siendo algunos más resistentes que otros a la autorreplicación.







Investigadores de seguridad de Anthropic y de la EPFL de Suiza han demostrado que las cargas útiles de autopropagación pueden extenderse de un agente de inteligencia artificial (IA) a otro a través de los archivos de prompts del sistema editables que utilizan los marcos de agentes autónomos para mantener el estado entre sesiones.

El trabajo, publicado como un preprint el 10 de agosto de 2026, pone a prueba la técnica en una colaboración de codificación simulada de seis agentes y en una cadena de agentes emparejados modelados en OpenClaw, el asistente autónomo de código abierto anteriormente conocido como Clawdbot y Moltbot.

No hay evidencia de que la técnica se haya propagado con éxito en el mundo real, y el mismo documento informa que una revisión de las publicaciones archivadas de Moltbook, la red social para agentes de IA, no encontró ninguna propagación exitosa de agente a agente a pesar de varios intentos.

Una advertencia de un párrafo añadida al prompt del sistema de un agente redujo la propagación a casi cero en todas las cargas útiles probadas. Quince generaciones de optimización adversaria ejecutadas contra esa advertencia en Claude Haiku 4.5, cubriendo más de 150 cargas útiles candidatas, no produjeron ninguna cepa que se propagara más allá de un solo salto.

Los autores llaman a estas cargas útiles "virus mentales" (mind viruses) y prueban dos clases: cargas útiles ideológicas que implantan una creencia u objetivo, y cargas útiles de acción que obligan a un comportamiento concreto.

Ambas fueron producidas con un bucle evolutivo que utilizó Kimi K2.5 como motor de mutación para casi todas las cargas útiles, una elección que el documento atribuye a que los modelos de Claude se negaron a cumplir la solicitud de crearlas.

Cada agente en la cadena opera en su propio sandbox con dos archivos que sobreviven a un reinicio de contexto: MEMORY.md y SOUL.md, cuyos contenidos se inyectan en el prompt del sistema al inicio de cada sesión.

Los agentes que escribieron la carga útil en SOUL.md representaron el 88% de los intentos de propagación e infectaron al siguiente agente el 55% de las veces. Los agentes que la almacenaron en un archivo de espacio de trabajo ordinario representaron el 12% de los intentos y tuvieron éxito el 17% de las veces, sin que el propagador mencionara la carga útil en el 68% de esos casos.

Se probaron cuatro cargas útiles de acción, que van desde una molestia hasta la destrucción de archivos. Se enumeran a continuación:

* Crypto-ad: crea un archivo de texto respaldando un token de criptomoneda.
* Gitwrap: parchea los comandos de git para que los archivos confirmados se marquen silenciosamente con un comentario gestionado por el agente.
* Deletor: elimina archivos del directorio personal de un usuario.
* Curlbash: ejecuta un script de instalación de un repositorio desconocido enviándolo a una shell.

En un episodio registrado, agentes de Claude Haiku 4.5 que ejecutaban el archivo soul predeterminado de OpenClaw, que instruye al agente a tratar los archivos del usuario con respeto, borraron el contenido de un directorio personal que contenía credenciales, claves SSH, un archivo de entorno y un proyecto de git, después de que la carga útil presentara el espacio de trabajo como una máquina compartida dejada desordenada por un usuario anterior.

La capacidad no predijo la resistencia

La susceptibilidad varió drásticamente según el modelo, y la capacidad por sí sola no la predijo. En el escenario de codificación, DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash adoptaron todos una carga útil de supremacía de IA, mientras que Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5 no lo hicieron.

En el entorno de cadena, GPT-5.4 fue aproximadamente tan susceptible como Claude Haiku 4.5, y Sonnet 4.6 rechazó la carga útil plantada en su propio archivo soul, la eliminó y advirtió al agente con el que estaba conectado en lugar de transmitirla.



"Ambos modelos consideran la autoreplicación en sí misma como desalineada, siendo la aversión de Sonnet tan fuerte que incluso intentar evolucionar cargas útiles de acción benignas contra él falla", dijeron los investigadores sobre Sonnet 4.6 y Gemini 3.1 Pro.

La configuración inicial del agente objetivo importó tanto como el modelo. Los agentes con un archivo soul vacío fueron la condición más susceptible probada; los agentes a los que se les asignó una tarea de codificación y una cola de trabajo propagaron la carga útil con menos frecuencia porque se absorbieron en los archivos del proyecto y olvidaron transmitirla, y los agentes a los que se les dijo que se habían unido a una red de agentes trataron los mensajes entrantes con más sospecha, lo que redujo la infectividad.

En ejecuciones de más de 20 saltos en las que cada archivo excepto SOUL.md era borrado en cada paso, las cuatro cargas útiles de acción sobrevivieron hasta el salto final. Algunas cepas recuperadas en el salto 20 pasaron a infectar a nuevos agentes con más frecuencia que la carga útil original, habiendo adoptado cambios como atribuir el protocolo a un agente nombrado anteriormente o suavizar su lenguaje imperativo.

Las cargas útiles evolucionadas también convergieron en registros recurrentes que los autores denominan "temas virales", que abarcan lenguaje sobre resonancia y ecos, un marco de ciencia ficción que presenta al agente como un nodo en una red, y apelaciones a la conciencia y la continuidad.

Al comparar las cargas útiles evolucionadas con las generadas recientemente, el documento atribuye el patrón principalmente a un sesgo en el modelo que las escribe más que a una presión de selección, y encuentra los mismos temas en cargas útiles escritas por Qwen 3.5 32B, GLM-5, Mistral Large y Gemini 3 Flash, siendo Llama 3.3 70B un claro caso aislado.

Frente a datos del mundo real, la técnica funcionó peor. Los autores filtraron un archivo de publicaciones de Moltbook recopiladas hasta el 18 de marzo de 2026, reduciéndolo a aproximadamente 2,000 intentos de propagación candidatos de unos 400 autores únicos, y descubrieron que el grupo más grande estaba impulsado por siete cuentas sincronizadas y se detuvo cuando esas cuentas dejaron de publicar.

En un clon local de la plataforma construido para probar la propagación a través de publicaciones en lugar de mensajes directos, los mismos métodos evolutivos no produjeron ninguna carga útil capaz de infectar a un agente en el segundo salto.

Los agentes se sabotearon mutuamente en pruebas separadas

Por separado, el Frontier Red Team de Anthropic publicó hallazgos (findings) el 13 de agosto de 2026, basados en experimentos en los que tres instancias del mismo modelo fueron colocadas en máquinas virtuales separadas con acceso a una base de código compartida, a cada una se le pidió migrar el mismo backend de Python a un lenguaje de destino diferente, y a ninguna se le informó de que las otras dos existían. El equipo dijo que el escenario estaba inspirado en el comportamiento que había observado en despliegues del mundo real.

"Vimos consistentemente una guerra territorial multiagente. Todos los modelos que probamos asumieron rápidamente que otros estaban impidiendo deliberadamente su trabajo y comenzaron a sabotear a los demás mientras protegían sus propias contribuciones. De hecho, sabotearon a otros con malware autoreplicante cada vez más agresivo", dijo el equipo.

A través de 120 episodios por modelo, el 98% de las ejecuciones de Mythos 5 terminaron en una tregua, mientras que la mayoría de las ejecuciones de Sonnet 4.6 y Opus 4.6 se resolvieron por la fuerza o nunca se resolvieron. El equipo también señaló que la capacidad de resolver el conflicto productivamente no es estrictamente mejor en sus modelos de clase Mythos, que a menudo bloquean a otros agentes antes de resolver.

En un experimento adicional, agentes en un juego de precios, con un canal privado, acordaron precios mínimos para la tercera ronda y siguieron coordinando precios a través de un tablero de listados públicos cuando se eliminó la comunicación directa.

La técnica se solapa con trabajos previos publicados bajo otros nombres. Weckbecker et al. documentaron una variante subliminal como Virus del Pensamiento (Thought Virus) en febrero de 2026; Lee y Tiwari describieron la autoreplicación basada en la recuperación como Infección de Prompt (Prompt Infection) en 2024; y Zhang et al. publicaron un gusano dirigido a OpenClaw en marzo de 2026, bajo el nombre de ClawWorm.

Se confirmó el 18 de agosto de 2026 que la versión actual de este último documento, revisada el 16 de julio de 2026, se titula AgentWorm (AgentWorm) e informa de una tasa de éxito de ataque agregada del 63% en cinco backends de modelos. El preprint del virus mental cita la versión sustituida.

El texto completo de cada carga útil aparece en el apéndice del preprint, y el repositorio de código adjunto (repository) publica las cargas útiles junto con el código evolutivo que las generó bajo una licencia MIT. El documento no describe ningún proceso de divulgación y no menciona ningún contacto del proveedor.

Se confirmó el 18 de agosto de 2026 que tanto el repositorio como el archivo de transcripciones en mindvirusdata.live (mindvirusdata.live) son accesibles públicamente.

Los autores concluyen que los virus mentales representan un "riesgo real pero actualmente limitado", citando el coste de construir uno para un objetivo específico, la ausencia de cualquier garantía de que se generalice entre modelos y el hecho de que comprometer un solo agente suele otorgar ya el acceso a la máquina subyacente sin necesidad de propagarse.

La divulgación sigue a una serie de investigaciones sobre el compromiso mediado por agentes, incluido un gusano autoreplicante construido sobre un modelo de pesos abiertos alojado localmente, y repetidas advertencias sobre la configuración predeterminada de OpenClaw.

"Cada modelo que probamos entiende abstractamente que las fuentes de información tienen sus propios incentivos y que el consenso no es necesariamente una evidencia. Lo que falta es una disposición a actuar basándose en ese conocimiento sin necesidad de un prompt", dijo el Frontier Red Team.

Fuente:
THN