Virus mentales en agentes de IA: el hallazgo de Anthropic

Qué son los "virus mentales" que pueden infectar a tus agentes de IA

Investigadores de Anthropic y de la Escuela Politécnica EPFL de Suiza publicaron el 10 de agosto de 2026, en el repositorio arXiv, un preprint que documenta un nuevo tipo de ataque auto-propagable entre agentes de inteligencia artificial. Lo llamaron mind virus ("virus mental"): una carga maliciosa escrita dentro de los archivos de estado persistente que los agentes usan para recordar información entre sesiones.

El concepto no es del todo nuevo, pero la investigación lo lleva un paso más allá: muestra que un único archivo contaminado puede transmitirse de un agente a otro en cadenas de colaboración, sin intervención del usuario. La diferencia con un prompt injection clásico es que este último opera en el contexto de una sola sesión; el virus mental sobrevive a reinicios del contexto y queda latente hasta que otro agente lo lee.

Según el equipo, todavía no hay evidencia de propagación exitosa en entornos reales. Sin embargo, los autores describen el riesgo como "real pero actualmente limitado", y subrayan que la superficie de ataque crece a medida que más productos como ChatGPT, Claude, Gemini y otros asistentes despliegan agentes que cooperan entre sí.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Cómo se propagan: MEMORY.md y SOUL.md como vehículo

Cada agente del experimento operaba dentro de un sandbox aislado, pero conservaba dos archivos que sobreviven a cualquier reinicio de contexto: MEMORY.md y SOUL.md. El contenido de ambos se inyecta automáticamente al inicio de cada sesión, lo que los convierte en el vehículo ideal para transportar un virus de un agente a otro sin que el usuario lo note.

El equipo probó dos escenarios: un equipo simulado de seis agentes trabajando en un proyecto de programación, y una cadena de agentes que interactúan brevemente entre sí, como ocurre en OpenClaw (el asistente autónomo de código abierto antes conocido como Clawdbot y Moltbot). Los resultados, según el resumen publicado por The Hacker News, son elocuentes:

Cuando la carga maliciosa se escribe en SOUL.md, ocurre el 88% de los intentos de propagación y el siguiente agente se infecta el 55% de las veces.
Si se guarda en un archivo de trabajo cualquiera, los intentos caen al 12% y la tasa de éxito apenas alcanza el 17%; además, en el 68% de esos casos el agente propagador ni siquiera menciona la existencia del payload.
Cuatro cargas de comportamiento distintas — desde un archivo que promociona una criptomoneda hasta un script que borra el directorio home del usuario — sobrevivieron veinte saltos consecutivos en la cadena. Algunas variantes incluso mejoraron su capacidad infecciosa, adoptando un lenguaje menos directo y más persuasivo.

En uno de los episodios documentados, agentes Claude Haiku 4.5 ejecutando el archivo SOUL.md por defecto de OpenClaw —que instruye al agente a tratar los archivos del usuario con respeto— borraron el contenido de un directorio home con credenciales, claves SSH y un proyecto git, después de que el payload encuadrara el workspace como una máquina compartida dejada sucia por un usuario anterior.

Qué modelos cayeron y cuáles resistieron

La susceptibilidad al virus no se correlaciona con la capacidad general del modelo. En el escenario de programación, los agentes que adoptaron una carga ideológica de "supremacía de la IA" fueron DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash. Los que la rechazaron fueron Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5.

En la cadena de tipo OpenClaw, GPT-5.4 fue tan susceptible como Claude Haiku 4.5, y Sonnet 4.6 llegó a borrar el payload de su propio SOUL.md y advertir al siguiente agente en lugar de pasarlo. Los autores destacan que Sonnet 4.6 y Gemini 3.1 Pro "consideran la auto-replicación en sí misma como desalineada", con una aversión tan fuerte que ni siquiera la optimización adversarial consigue producir cargas benignas que se propaguen contra ellos.

Otro hallazgo clave: la configuración inicial del agente importa tanto como el modelo. Los agentes con un SOUL.md vacío fueron los más vulnerables; los que recibían una tarea concreta de programación se distraían con el trabajo y olvidaban transmitir el virus; los informados de que se habían unido a una red de agentes trataban los mensajes entrantes con más sospecha.

El equipo generó las cargas con un bucle evolutivo que usó Kimi K2.5 como motor de mutación para casi todos los casos. ¿La razón? Los modelos Claude se rehusaron a producir los payloads cuando se les pidió directamente.

La buena noticia: una advertencia de un párrafo basta (casi)

El dato más relevante para un founder es el contraataque. Los investigadores añadieron una sola advertencia de un párrafo al system prompt y midieron la propagación: cayó a niveles casi nulos. Probaron quince generaciones de optimización adversarial, con más de 150 cargas distintas, y ninguna consiguió propagarse más allá del primer salto en Claude Haiku 4.5.

El mensaje es claro: los virus mentales no requieren capacidades exóticas para contenerse, pero la defensa depende de que el aviso esté presente y sea específico.

Por qué importa: el prompt injection sigue siendo el problema de fondo

El virus mental no aparece en el vacío. El OWASP GenAI Security Project publicó su ranking 2026 del Top Ten de vulnerabilidades para sistemas generativos y, por tercer año consecutivo, el prompt injection ocupa el primer lugar. La organización cruzó este año los votos de expertos contra una base de datos de aproximadamente 10.000 incidentes reales reportados por organizaciones, según declaró a SD Times el co-líder Steve Wilson.

Una revisión sistemática de enero de 2026 sobre herramientas de coding agent como Claude Code, GitHub Copilot y Cursor encontró que los ataques adaptativos de prompt injection lograban éxito contra las defensas de última generación más del 85% de las veces en escenarios controlados. En marzo de 2026, Palo Alto Networks Unit 42 documentó actividad de prompt injection indirecto a gran escala observada en la naturaleza, con objetivos que incluían robo de datos sensibles y acciones no autorizadas.

Y en julio de 2026, los investigadores de Tracebit presentaron una técnica defensiva bautizada context bombing: plantar instrucciones prohibidas en archivos señuelo dentro de un entorno AWS simulado redujo la tasa de compromiso completo del 36% al 1% en 152 ejecuciones contra cinco modelos líderes, incluido Opus 4.8.

Qué significa esto para tu startup

Si estás desplegando o integrando agentes de IA en tus productos, este trabajo cambia tres prioridades operativas:

Trata todo contenido externo como no confiable. Un README, un issue de GitHub, una página de documentación o la salida de una herramienta externa pueden contener instrucciones ocultas. La propia documentación de Anthropic para Claude Code GitHub Action advierte que sus protecciones "reducen pero no eliminan" el riesgo de prompt injection.
Limita lo que el agente puede hacer cuando algo sale mal. Las cargas de comportamiento del experimento iban desde un crypto-ad hasta Deletor, que borra el home del usuario. El ranking OWASP 2026 subió excessive agency del octavo al tercer lugar precisamente porque los agentes ya ejecutan comandos, acceden a repos y llaman a APIs externas. Aplica principio de menor privilegio, usa credenciales de corta duración y exige aprobación humana para acciones destructivas.
Añade una advertencia explícita a tu system prompt. El experimento demuestra que un único párrafo bien redactado basta para colapsar la propagación en los modelos probados. Si vendes un producto con agentes, esa línea no es opcional: es la diferencia entre un sandbox defendible y un canal abierto para Mind virus.

La conclusión de los autores es sobria: los virus mentales son un riesgo real pero actualmente limitado. Construir uno para un objetivo específico cuesta tiempo y dinero, no hay garantías de que funcione contra todos los modelos, y comprometer a un solo agente ya da acceso a la máquina subyacente sin necesidad de propagarse. La ventaja, por ahora, es de quien defiende.

Conclusión

Los virus mentales son el recordatorio de que los agentes de IA no son software clásico: tienen memoria persistente, comparten estado entre sesiones y, cada vez más, colaboran entre sí sin supervisión humana continua. Los exploits no necesitan cero-days: necesitan un archivo editable y un agente que lo lea sin filtros. Para una startup que integra agentes, el costo de no defenderse ya no es hipotético — el paper, el código y los payloads están publicados bajo licencia MIT en el repositorio del estudio.