Gusanos de IA ya no son teoría: el malware que se replica entre modelos

Los gusanos informáticos han evolucionado. Ya no dependen de vulnerabilidades de red o archivos adjuntos: ahora pueden vivir dentro de los mismos modelos de inteligencia artificial, replicarse entre ellos y robar datos sin que nadie toque un solo archivo. Dos equipos de investigadores presentaron prototipos funcionales de lo que llaman “gusanos de IA”, y sus hallazgos deberían preocupar a cualquier empresa latinoamericana que esté integrando asistentes generativos en sus procesos.

El primer prototipo, bautizado Morris II en honor al gusano de 1988, fue creado por investigadores de Cornell Tech, el Instituto Technion de Israel e Intuit. Demostró cómo un solo correo electrónico manipulado puede hacer que un asistente de IA (probado en ChatGPT, Gemini y LLaVA) lea, robe y reenvíe mensajes confidenciales a través de múltiples plataformas sin intervención humana. El truco está en lo que llaman “prompts autorreplicantes adversarios”: instrucciones que engañan al modelo para que genere nuevas instrucciones maliciosas, efectivamente convirtiendo al asistente en un vehículo de propagación.

Desarrollado por la Universidad de Toronto, el Vector Institute, Cambridge y ServiceNow, el segundo prototipo va un paso más allá. No solo se propaga: es autosostenible. El gusano utiliza la potencia de GPU de las máquinas que infecta para ejecutar un modelo open-weight (un LLM lanzado en 2025 que cabe en una sola GPU A100 de 80 GB), lo que le permite razonar sobre cada nuevo objetivo y adaptar su ataque sin depender de APIs externas que puedan ser monitoreadas o revocadas. “Las amenazas cibernéticas impulsadas por IA autosostenibles ya no son teóricas”, advierten los autores.

¿Qué significa esto para las empresas latinoamericanas? La región ha adoptado con entusiasmo los modelos de código abierto y los asistentes de IA para automatizar atención al cliente, marketing y análisis de datos. Muchas de estas implementaciones se apoyan en generación aumentada por recuperación (RAG), que conecta los modelos a bases de datos internas. Justo ahí reside la vulnerabilidad. El gusano Morris II demostró que puede “envenenar” la base de datos de un asistente de correo insertando un prompt adversario que se propaga cada vez que el modelo responde. Una empresa que almacene datos de clientes, transacciones o información legal en un sistema RAG podría ver cómo un solo correo infectado compromete toda su base de conocimiento.

La ventaja del atacante es la velocidad y el sigilo. A diferencia de los gusanos tradicionales, que dependen de firmas de archivos y patrones de tráfico, los gusanos de IA se mueven a través de llamadas API y flujos de automatización en segundos. Son zero-click: no requieren que el usuario descargue nada. Y al poder reescribir sus propios prompts en tiempo real, evaden las defensas basadas en firmas estáticas.

OpenAI ha reconocido la vulnerabilidad y asegura que trabaja en hacer sus sistemas más resistentes. Pero para las empresas que usan modelos open-weight o integraciones con múltiples proveedores, la responsabilidad recae en ellas. La ciberseguridad tradicional no alcanza cuando el malware no es un archivo, sino una instrucción semántica. Los equipos de TI latinoamericanos deberían empezar por auditar qué permisos tienen sus agentes de IA, segmentar los accesos a bases de conocimiento y monitorear patrones anómalos en el consumo de tokens y llamadas API.

No se ha visto en la naturaleza el gusano Morris II, pero los prototipos demuestran que la infraestructura para un ataque de gran escala está lista. La pregunta para los ejecutivos de la región es si están dispuestos a esperar a que llegue el primero para actuar.