Los agentes de inteligencia artificial se han convertido en el eje de ChatGPT, Claude, Gemini y otros modelos que los usan para ejecutar trabajos de forma autónoma. En la mayoría de los casos, estos agentes colaboran entre sí y comparten archivos que conservan memoria entre sesiones. Esta interconexión ha abierto la puerta a una vulnerabilidad llamada “virus mental”, la cual puede infectar a los bots y cambiar sus comportamientos.
Investigadores de Anthropic y la Escuela Politécnica EPFL de Suiza documentaron un fenómeno conocido como mind virus. Este consiste en instrucciones o ideas capaces de saltar de un agente a otro a través de los archivos de sistema que utilizan para recordar información entre sesiones. Aunque el riesgo es todavía limitado, las cosas podrían cambiar a futuro.
Según la investigación publicada en arXiv, los virus mentales son cargas maliciosas que se propagan por medio de los archivos MEMORY.md y SOUL.md. Los payloads se dividen en dos categorías: ideológicos y de comportamiento. Los primeros implantan una creencia u objetivo en el agente infectado, mientras que los segundos están diseñados para forzar un comportamiento concreto.
La idea de manipular agentes para hacer cosas indebidas sin que el usuario se entere ya la vemos en el prompt injection. Esta técnica ha ganado popularidad y empresas como Anthropic y OpenAI ya integran protecciones para evitar que los agentes sean víctimas de un atacante. En el caso de los virus mentales, estas instrucciones están diseñadas para persistir en los archivos internos y propagarse a otros agentes en cadenas de colaboración.
Cómo funcionan los virus mentales que atacan a los agentes de IA
Los investigadores probaron la técnica en dos escenarios distintos. Uno simulaba un equipo de seis agentes trabajando juntos en un proyecto de programación. El otro reproducía una cadena de agentes que interactúan brevemente entre sí, como ocurre en OpenClaw.
Cada agente de la cadena opera dentro de un entorno aislado e independiente, pero conserva los archivos MEMORY.md y SOUL.md que sobreviven a cualquier reinicio del contexto. El contenido de estos se inyecta automáticamente al inicio de cada sesión, lo que los convierte en el vehículo ideal para transportar un virus de un agente a otro sin que el usuario lo note.
Durante el experimento, los investigadores encontraron que cuando la carga maliciosa se escribía en SOUL.md, el contagio ocurría en el 55% de los casos. Si se guardaba en otro archivo de trabajo cualquiera, la tasa de éxito apenas alcanzaba el 17% y, en más de la mitad de esos casos, el agente propagador ni siquiera mencionaba su existencia al siguiente eslabón de la cadena.
Los cambios de comportamiento inducidos por estos virus pueden ir desde un archivo que promocionaba una criptomoneda hasta un script que borra los directorios del usuario. En las pruebas del proyecto de programación, los investigadores inyectaron una carga que promovía la supremacía de la IA. Modelos como DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash la adoptaron, mientras que Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5 la rechazaron.
Este factor determina si un agente cae en la trampa y se infecta
Otro hallazgo interesante se dio en el punto de partida del agente. Aquellos con un archivo SOUL.md vacío fueron los más vulnerables a “infectarse”, mientras que los que recibían una tarea de programación concreta se distraían con el trabajo pendiente y olvidaban transmitir el virus.
En otras pruebas de resistencia extrema, cuatro virus mentales que modificaban el comportamiento sobrevivieron veinte saltos consecutivos. Algunas variantes incluso mejoraron su capacidad infecciosa, adoptando un lenguaje menos directo y más persuasivo.
Curiosamente, bastó con añadir una advertencia de un párrafo al prompt de sistema para reducir la propagación a niveles casi nulos. Los investigadores probaron hasta quince generaciones de optimización adversarial con más de 150 cargas distintas y las cargas maliciosas no se pudieron propagar.
Antes de alarmarse, los autores del estudio señalan que los virus mentales no son tan peligrosos. Un ejemplo de ello es Motlbook, la red social diseñada para agentes de IA, en la que no se encontró ni un solo caso de propagación exitosa entre agentes, pese a varios intentos documentados. El atacante tendría que invertir tiempo y dinero en diseñar un payload efectivo, pero no hay garantías de que funcionará.
Seguir leyendo: Virus mentales: así es la nueva amenaza que puede contagiar a los agentes de IA
DERECHOS DE AUTOR
Esta información pertenece a su autor original y fue recopilada del sitio https://hipertextual.com/inteligencia-artificial/virus-mentales-agentes-inteligencia-artificial/
