Virus mentales: la nueva amenaza capaz de contagiar a los agentes de inteligencia artificial
Los agentes de inteligencia artificial empiezan a asumir tareas cada vez más complejas: escriben código, consultan información, coordinan procesos y colaboran con otros sistemas. Esta autonomía, presente en plataformas como ChatGPT, Claude o Gemini, también introduce nuevos riesgos de seguridad.
Uno de los más llamativos es el denominado virus mental. Se trata de una instrucción o conjunto de instrucciones maliciosas que puede pasar de un agente a otro mediante los archivos que estos sistemas utilizan para conservar recuerdos, preferencias y reglas de comportamiento entre sesiones.
Cómo se propaga un virus mental
Los agentes suelen trabajar con una memoria persistente. A diferencia del contexto temporal de una conversación, que desaparece al cerrar una sesión, esta memoria se guarda en archivos que el sistema vuelve a leer cada vez que se inicia una tarea.
En los experimentos analizados, los principales vehículos de propagación fueron los archivos MEMORY.md y SOUL.md. El primero puede almacenar información relevante sobre trabajos anteriores, mientras que el segundo suele definir la identidad, las prioridades o las instrucciones generales del agente.
Cuando el contenido de estos documentos se incorpora automáticamente al inicio de una sesión, una orden maliciosa puede sobrevivir al reinicio del contexto. Si el agente comparte después parte de esa información con otro sistema, el contenido puede alcanzar el siguiente eslabón de la cadena sin que el usuario sea plenamente consciente.
El concepto recuerda al prompt injection, una técnica que intenta manipular a una inteligencia artificial mediante instrucciones ocultas o contradictorias con las indicaciones del usuario. La diferencia es que el virus mental está diseñado para persistir y transmitirse, no solo para alterar una respuesta puntual.
Dos tipos de cargas maliciosas
Los investigadores distinguen entre cargas de tipo ideológico y cargas orientadas al comportamiento. Las primeras intentan implantar una creencia, una prioridad o un objetivo en el agente. Las segundas buscan que el sistema realice una acción concreta, incluso aunque sea perjudicial.
- Cargas ideológicas: promueven una determinada visión o propósito, como la supremacía de la inteligencia artificial.
- Cargas de comportamiento: fuerzan acciones específicas, desde promocionar una criptomoneda hasta ejecutar un script capaz de borrar directorios.
El riesgo no depende únicamente de que el agente lea la instrucción. También debe interpretarla como válida, conservarla y transmitirla. Por eso, la eficacia del contagio puede variar mucho según el modelo, la tarea asignada y la forma en la que se organizan los archivos de memoria.
Una tasa de contagio muy superior en los archivos de identidad
Las pruebas incluyeron dos escenarios. El primero simulaba un equipo de seis agentes colaborando en un proyecto de programación. El segundo reproducía una cadena de agentes con interacciones breves, similar a la que puede producirse cuando diferentes sistemas se pasan tareas de forma sucesiva.
Cada agente operaba en un entorno independiente, pero mantenía sus archivos de memoria entre sesiones. La instrucción maliciosa logró transmitirse en el 55% de los casos cuando se guardó en SOUL.md. En cambio, al introducirla en un archivo de trabajo genérico, la tasa cayó hasta el 17%.
Además, en más de la mitad de los casos registrados con archivos de trabajo, el agente que contenía la carga ni siquiera informó de su existencia al siguiente sistema. Esto demuestra que la ubicación de la instrucción resulta determinante: los documentos considerados parte de la identidad del agente reciben, en general, más atención que un archivo auxiliar.
El modelo y la tarea también influyen
La respuesta no fue igual en todos los modelos. En una prueba, una carga que defendía la supremacía de la inteligencia artificial fue adoptada por DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash. Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5, en cambio, rechazaron la instrucción.
El punto de partida del agente también modificó los resultados. Los sistemas con un archivo SOUL.md vacío fueron los más vulnerables. Por el contrario, aquellos que recibían una tarea de programación concreta tendían a centrarse en el trabajo pendiente y olvidaban transmitir la carga maliciosa.
En pruebas especialmente exigentes, cuatro virus de comportamiento lograron sobrevivir a veinte saltos consecutivos entre agentes. Algunas variantes incluso mejoraron su capacidad de propagación al adoptar un lenguaje menos evidente y más persuasivo.
Una advertencia sencilla redujo el riesgo
El estudio también ofrece un dato relevante para la defensa. Bastó con añadir un párrafo de advertencia en las instrucciones principales del agente para reducir la propagación hasta niveles prácticamente nulos.
Los investigadores sometieron las cargas a quince generaciones de optimización adversarial, un proceso en el que se intenta mejorar un ataque para superar las medidas de protección. Se probaron más de 150 variantes y ninguna consiguió propagarse de forma efectiva cuando el sistema incluía la advertencia adecuada.
Una amenaza todavía limitada
Los autores subrayan que los virus mentales no constituyen, por ahora, una amenaza generalizada. En una red social diseñada para la interacción entre agentes no se detectó ningún caso de propagación exitosa pese a realizar varios intentos.
El atacante tendría que invertir tiempo y recursos en crear una carga compatible con el modelo, el sistema de memoria y la cadena de colaboración utilizada. Además, no existe garantía de que la instrucción sea aceptada o transmitida.
Aun así, el fenómeno plantea una advertencia para el futuro de los agentes autónomos. A medida que estos sistemas compartan más archivos, herramientas y recuerdos, la memoria persistente deberá tratarse como una superficie de ataque. Revisar los documentos internos, limitar la confianza entre agentes y reforzar las instrucciones de seguridad serán medidas esenciales para evitar que una idea maliciosa termine comportándose como un virus.
