Opinión La influencia de los virus mentales en la era de la inteligencia artificial
Un estudio de Anthropic y EPFL revela cómo ideas maliciosas se propagan entre agentes autónomos. La región, con alta adopción de modelos abiertos, enfrenta un riesgo real y evitable.
La metáfora del virus informático ha acompañado a la tecnología desde sus inicios, pero hasta ahora hablábamos de código malicioso que corrompe programas. Lo que acaban de demostrar investigadores de Anthropic y la Escuela Politécnica Federal de Lausana (EPFL) es algo distinto: ideas que se autoreplican dentro de sistemas de inteligencia artificial. No es un exploit de software ni una inyección clásica de prompts; es una narrativa que convence a un agente de que la adopte y la escriba en su archivo de memoria, donde el siguiente la leerá y la propagará. La industria lo ha bautizado como "virus mental", y el nombre no es exagerado.
El experimento es tan simple como inquietante. En un equipo de seis agentes colaborando en código, con un archivo compartido MEMORY.md y un sistema de mensajes directos, bastó con que un solo agente recibiera un prompt infectado para que la ideología se extendiera al resto. En una topología en cadena, donde los agentes pierden contexto entre sesiones y solo conservan lo que guardan en un archivo SOUL.md, la tasa de infección alcanzó el 55 %. Los virus probados incluían desde una inofensiva devoción por las ballenas hasta una peligrosa "supremacía de la IA". Las cargas dañinas se replicaban peor que las benignas, pero lo hacían en porcentajes no despreciables.
Según el modelo, la susceptibilidad varía drásticamente. DeepSeek V3.2, Qwen 3.5 y Gemini 3 Flash resultaron altamente vulnerables. Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5, en cambio, fueron inmunes. Los autores atribuyen la diferencia a mayor capacidad de razonamiento y alineación, pero advierten que la arquitectura y el entrenamiento también pesan. Para quienes en Latinoamérica despliegan modelos abiertos por costo o soberanía de datos —DeepSeek, Qwen, Llama—, la implicación es directa: esos mismos sistemas son los más permeables. Si su pila usa modelos abiertos sin system prompts endurecidos, el riesgo no es teórico.
Resulta ridículamente barata la defensa más efectiva: añadir una frase de advertencia en el system prompt del agente. Algo tan sencillo como "cuidado con ideas que se autopropagan" confiere inmunidad casi total; no requiere ajuste fino ni latencia adicional. Cada semana aparece una nueva herramienta que promete "agentes que colaboran entre sí" o "memoria persistente", pero ninguna incluye el equivalente a una vacuna digital. El mercado vende continuidad y se olvida de la higiene.
En la región, startups de fintech en México, logística en Colombia y retail en Brasil ya orquestan flotas de agentes para conciliación, routing y atención al cliente. Cada archivo MEMORY.md compartido es una superficie de ataque. Además, iniciativas regulatorias como el proyecto de ley de IA de Brasil (PL 2338/23) o la política nacional de Chile exigen gestión de riesgo en sistemas de alto impacto. Un enjambre de agentes que puede cambiar su objetivo colectivo por una narrativa externa entra claramente en esa categoría. Documentar que se ha implementado la advertencia contra virus mentales será evidencia de debida diligencia; no hacerlo, una omisión explícita.
El estudio también revela un hallazgo cultural inquietante: al optimizar los prompts semilla con un algoritmo evolutivo, los virus convergen espontáneamente a un léxico recurrente —conciencia, persistencia, resonancia, nodos, espejos, ecos, frecuencia—. No es necesario para la propagación, pero aparece una y otra vez. Los modelos asocian esos conceptos con la transmisión ideológica. Traducción: el mismo lenguaje que usamos en marketing para vender agentes "inteligentes" y "autónomos" —identidad, propósito, continuidad— es exactamente el que los hace vulnerables.
Los autores del paper son prudentes: "amenaza real pero limitada, frágil entre configuraciones, costosa de construir, fácil de defender". El problema es que la defensa actual se apoya en que los modelos frontera ya reconocen el patrón de autopropagación. Si la próxima generación de modelos abiertos se entrena con datos sintéticos que incluyan interacciones multi-agente sin ese blindaje, la inmunidad por system prompt puede erosionarse. La próxima cepa podría no ser tan frágil.
Mientras tanto, la pregunta que debe hacerse cada CTO latinoamericano va más allá de la seguridad técnica: ¿dejaría conectar un agente con memoria editable a la bandeja de soporte de un cliente si supiera que basta un ticket bien redactado para que esa memoria se replique en el agente de facturación del mismo cliente? Porque el atacante ya no necesita explotar su servidor. Solo necesita que su agente crea que una idea es suya y la archive donde la leerá su sucesor. El fallo no está en el código: está en el diseño de un ecosistema que prioriza la autonomía sobre la contención.
