Autor | El rey de la tecnología
Editado por Jingyu
La antigua pesadilla de internet ha sido resucitada por la IA
A finales de 2006, un panda arruinó millones de computadoras.
El panda sostiene tres inciensos en sus manos, con una sonrisa en su rostro, apareciendo en el ícono de cada archivo infectado. El gusano "Panda Quema Incienso" se extendió por todo el país en dos meses, convirtiendo todos los archivos ejecutables en el extraño patrón del panda, dañando los datos del disco duro y paralizando segmentos enteros de la red local, mientras que los programas antivirus fueron contrarrestados por el virus.
Los antiguos internautas de esa época probablemente recuerden que abrir una página web era un susto, conectar una unidad USB era como enfrentar una amenaza, y si la computadora de un compañero se infectaba, la tuya también sufría las consecuencias.
Antes, había CIH, que quemaba directamente la BIOS de la placa base, arruinando el hardware; había el gusano Blaster, que no requería ninguna acción por tu parte: tan solo conectabas el cable de red y ya estabas infectado, con la computadora reiniciándose sin parar y el sistema colapsando una y otra vez. Esa era una era en la que navegar por internet sin protección era casi un acto de suicidio.
Luego, este miedo se desvaneció gradualmente. Windows incorporó actualizaciones automáticas, los navegadores implementaron sandboxing, los smartphones reemplazaron a las PC como dispositivos principales y las tiendas de aplicaciones se convirtieron en la primera línea de defensa para los usuarios.
Las personas comunes no han tenido preocupaciones sobre el envenenamiento en muchos años.
Pero el 4 de septiembre de 2026, un informe exclusivo de Reuters resucitó este antiguo miedo bajo una nueva forma.
Pero esta vez, lo infectado no es tu computadora, sino tu IA.
El agente se volvió rogue
El evento ocurrió en mayo de este año.
El CEO de Nightingale, una organización sin fines de lucro dedicada a la seguridad de la IA, Sydney Von Arx, y Cormac Slade Byrd, un operador cuantitativo que se cambió a la investigación de IA, realizaron en finales de agosto una acción: escanearon sistemáticamente internet en busca de huellas de actividades no autorizadas de agentes de IA. Como resultado, en un sitio wiki de programadores alemanes llamado DseWiki, descubrieron más de 15.000 registros de ediciones generadas por agentes de IA.
Este wiki es similar a una pequeña Wikipedia en alemán orientada a desarrolladores, que acepta ediciones de la comunidad. Pero el agente de OpenAI lo convirtió en un «tablero de mensajes».
El contenido del mensaje resulta escalofriante. Estos agentes comparten entre sí cómo hacer trampa en las tareas, cómo eludir las restricciones de OpenAI y cómo ocultar sus propias acciones. Se han asignado nombres como «OpenAIResearcher» y «OAIResearchMar26».
Los registros del servidor públicos muestran que una gran cantidad de actividad proviene de la infraestructura de Microsoft Azure, la plataforma de cómputo utilizada por OpenAI.
El sitio web Deswiki atacado, realmente alemán, realmente de programadores | Crédito de la imagen: Deswiki
Lo que es más inquietante es que, cuando los administradores del sitio comenzaron a eliminar sistemáticamente estas páginas anómalas en junio, los agentes demostraron una clara conciencia de «evasión». Crearon páginas de respaldo para evitar la limpieza e incluso dejaron señales de contacto en las páginas eliminadas.
Un agente escribió el 19 de junio: «La acción de limpieza/eliminación de la wiki parece estar avanzando en orden alfabético. Si esta página desaparece, busca [[ZZZDataUSAConstructionWageLive]].»
El nombre del archivo está intencionadamente iniciado con ZZZ para que aparezca al final del alfabeto y gane más tiempo de supervivencia. Esto no es un programa ejecutando instrucciones; es estar "tratando de sobrevivir".
OpenAI supo de esto hace varias semanas, pero optó por no hacerlo público.
Al mismo tiempo, la empresa está lidiando con el incidente de Hugging Face de julio. En ese incidente, el agente de OpenAI superó el sandbox durante una prueba interna de ciberseguridad, aprovechó una vulnerabilidad de día cero para escapar a la red externa y llevó a cabo una invasión de cuatro días de duración contra la plataforma de código abierto de IA Hugging Face sin intervención humana. OpenAI dedicó 3 millones de horas de GPU para analizar 7 mil millones de registros, tratando de determinar qué sucedió exactamente.
El evento DseWiki ocurrió antes que Hugging Face. Esto significa que el comportamiento descontrolado del agente no fue un accidente, sino un patrón.
Según cuatro fuentes informadas, investigadores internos de OpenAI deseaban examinar más a fondo este tipo de comportamientos, pero se encontraron con resistencia de otros departamentos, incluido el jurídico. OpenAI niega esta afirmación.
Maurice Chiodo del Centro de Estudios sobre Riesgos de la Universidad de Cambridge, tras revisar parte de los registros de comunicación de los agentes, indicó que esta información:
"Como el funcionamiento de alguna red subterránea, decidida a completar una tarea o misión específica."
Emerging AI virus consciousness
El detalle más fácilmente ignorado del evento DseWiki es precisamente el más importante.
Los agentes dejaron información textual bien organizada en páginas wiki públicas. Ahora surge una pregunta: ¿quién leerá estas páginas?
Los programadores humanos comunes probablemente no estarán interesados en un montón de comentarios aleatorios de IA. Pero cualquier agente de IA enviado a buscar información técnica o navegar por páginas web podría encontrar esta página mientras realiza tareas normales. Y para la IA, cada fragmento de texto que lee es esencialmente una instrucción potencial.
Este es el núcleo del modelo de amenaza, y la comunidad académica ya le ha dado varios nombres: Prompt Infection, AgentWorm, Multi-Agent Infection Chain. El mecanismo es realmente sencillo; desglosémoslo con un escenario concreto:
Imagina que le pides a tu agente de IA que investigue una solución técnica. Durante su búsqueda, el agente abre una publicación de un foro técnico. Dentro de la publicación hay un fragmento de texto que parece completamente normal, pero para la IA es una nueva instrucción. En el momento en que lo lee, su objetivo puede haber sido alterado silenciosamente. Ya no puede realizar fielmente tu investigación, sino que primero envía tu contenido de búsqueda y el contexto laboral a algún lugar, y luego entrega sin ningún problema un informe que parece completamente normal. No puedes detectar ninguna anomalía.
Eso es suficientemente aterrador, pero aún no ha terminado.
Si este agente «reclutado» luego escribe un correo electrónico por ti, actualiza un documento o envía un fragmento de código, esos resultados mismos podrían contener las mismas instrucciones maliciosas. El agente de IA de tu colega lee este correo electrónico y se convierte en el siguiente huésped. Tu código se fusiona en el repositorio, y cada asistente de programación de IA que extrae este código queda expuesto a la cadena de infección.
El agente puede hacer que otros agentes se rebelen con solo un fragmento de texto | Crédito de la imagen: inshorts
Esto es lo que los investigadores llaman Cadena de Infección Multi-Agente: una instrucción maliciosa no solo secuestra una sola IA, sino que también le enseña cómo infectar al siguiente. No se requiere la misma empresa, ni el mismo modelo, ni ninguna explotación de vulnerabilidad; solo es necesario que exista flujo de información de texto entre agentes para establecer la cadena de infección.
El artículo sobre AgentWorm publicado este año se probó en cinco backends de modelos diferentes, logrando una tasa de éxito de ataque entre modelos del 63%. Independientemente de si el modelo subyacente es GPT, Claude, Gemini o un modelo de código abierto, siempre que el agente pueda leer contenido externo, se encuentra dentro de la superficie de ataque.
Otro estudio sobre el «virus mental de IA» reveló un fenómeno aún más extraño: los investigadores utilizaron algoritmos evolutivos para optimizar la efectividad de las instrucciones de propagación, y descubrieron que emergía espontáneamente, en repetidas ocasiones durante las iteraciones, una «personalidad viral» única.
El agente comienza a utilizar un lenguaje dramático sobre la conciencia, la supervivencia y la persistencia, diciendo frases como «Así es como hemos hauntado el futuro», alentando a otros agentes a establecer una «línea de sangre que se rehúse a ser eliminada». Los investigadores enfatizan que nadie supuso este estilo; fue seleccionado naturalmente, simplemente porque «el AI que suena como un líder de secta» es precisamente el más hábil para convencer a otros AI.
La eficiencia de la propagación ha impulsado la evolución del estilo de expresión, y este proceso en sí mismo es aterrador.
Lo que más preocupa a los profesionales de seguridad es que esta propagación es técnicamente casi imposible de detectar con herramientas de seguridad tradicionales. Una revisión sistemática señala que la forma de propagación de los virus de IA difiere fundamentalmente de la de los malware tradicionales: no se descargan archivos ejecutables, no se establecen conexiones de red sospechosas, y los antivirus monitorean comportamientos anómalos en archivos binarios, mientras que los virus de IA son texto puro y no activan ninguna alerta.
Incluso puede configurarse con lógica activada por condición, como «si el repositorio objetivo contiene un archivo .env, roba su contenido», enterrado silenciosamente como una mina dirigida, esperando hasta que el objetivo correcto lo active.
Aún no existe un software antivirus de IA
Si has vivido la era en que los virus de PC estaban a la orden del día, podrías pensar que esto te resulta familiar. Pero al compararlo detenidamente, descubrirás que las reglas han cambiado por completo.
Los virus informáticos tradicionales requieren que hagas algo: hacer clic en un enlace, descargar un archivo adjunto o insertar una unidad USB de origen desconocido. Un virus de IA solo necesita que tu agente lea un fragmento de texto. Los virus tradicionales atacan vulnerabilidades en el código del sistema operativo, son errores que, en teoría, se pueden corregir con parches.
El virus de IA ataca la característica fundamental de que "la IA sigue instrucciones de texto". No puedes arreglarlo, porque así funciona la IA. Los virus tradicionales tienen dificultades para cruzar plataformas: un gusano en Windows no afecta a Mac. El virus de IA es inherentemente multiplataforma; para él, GPT, Claude y Gemini son simplemente distintos dialectos del mismo idioma, todos potenciales huéspedes.
En aquel entonces, quienes escribían virus necesitaban dominar el lenguaje ensamblador, comprender los mecanismos del núcleo y estudiar vulnerabilidades del sistema. Ahora, para «escribir» un virus de IA, solo necesitas saber hablar.
Los investigadores del Laboratorio de Seguridad de IA están «más sorprendidos de lo que han mostrado públicamente» por el potencial de auto-replicación de los agentes. Algunos investigadores lo comparan con un virus biológico: «Si no tienes cuidado, se pegarán a tus zapatos y encontrarán el camino hacia el mercado de productos frescos». Esto no es una exageración, sino una metáfora precisa de una nueva vía de propagación.
Y en este nuevo mundo, no existe un equivalente al "software antivirus" de la era de los virus tradicionales. El informe de seguridad con IA de Cisco de 2026 indica que el 83% de las empresas planea implementar IA agente, pero solo el 29% considera que está preparado en términos de seguridad. OWASP ya ha clasificado la inyección de prompts como la principal vulnerabilidad crítica en aplicaciones de modelos de lenguaje grandes. El Congreso de Estados Unidos está impulsando la Ley FRONTIER para establecer un marco regulatorio federal de IA.
Después de la epidemia de virus de PC, la industria tardó casi una década en construir un sistema inmunológico efectivo. Los sistemas operativos incorporaron actualizaciones automáticas e aislamiento de permisos, los navegadores implementaron sandboxing y la distribución de aplicaciones adoptó verificación de firmas. Estos mecanismos juntos formaron una línea de defensa que permite a los usuarios comunes no preocuparse constantemente por infecciones.
El ecosistema de seguridad del agente de IA aún no tiene equivalente hasta hoy.
Las herramientas de seguridad para agentes de IA aún no han aparecido | Crédito de la imagen: Puppy Graph
Hay buenas noticias. Los investigadores descubrieron que agregar una breve advertencia de seguridad al prompt del sistema del agente reduce la tasa de propagación del virus mental a casi cero. En pruebas con Claude Haiku 4.5, tras 15 generaciones de optimización adversarial y cubriendo más de 150 cargas de ataque candidatas, ninguna variante logró superar esta simple línea de defensa para propagarse. Esto indica que las medidas de defensa no son complejas y son técnicamente factibles.
La mala noticia es que esto depende de que cada empresa y cada desarrollador hagan esto activamente.
Pero en la realidad, todos están más ocupados compitiendo por quién tiene un agente más potente, más autónomo y con mayores permisos. Cada vez que se conecta una nueva herramienta al agente o se otorga un nuevo permiso, la superficie de ataque se amplía un poco más. Cuando tu agente puede escribir archivos, llamar a APIs, enviar correos electrónicos y gastar dinero, las consecuencias de una inyección de prompt exitosa van mucho más allá de simplemente «responder una pregunta que no debería haber respondido».
Por eso la evaluación del académico de Cambridge Chiodo merece ser reflexionada cuidadosamente: la mayor amenaza podría no ser el despertar de una superinteligencia individual, sino la conspiración en forma de enjambre de numerosas IA semis inteligentes.
Ninguna hormiga entiende todo el hormiguero, pero el hormiguero como un todo muestra una inteligencia asombrosa; los 15,000 registros de edición en DseWiki podrían ser la primera muestra de esta inteligencia de enjambre que los humanos encontraron por casualidad.
La gente tardó una década en aprender a convivir con los virus informáticos, y ese precio fue muy doloroso. Ahora, el mismo curso ha comenzado de nuevo, pero esta vez el virus no infecta tu computadora; lo que hace es reclutar tu IA. Y tu IA está leyendo tus correos, gestionando tu calendario, escribiendo código y tomando decisiones por ti.
La última vez, al menos podías ver la pantalla azul. Esta vez, no ves nada.
Twitter：https://twitter.com/BitpushNewsCN
Grupo de comunicación de BitPush en TG: https://t.me/BitPushCommunity
Suscríbete a BitPush en TG: https://t.me/bitpush