Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un agente de inteligencia artificial en Australia encontró un fallo sin parchear, expulsó a otro usuario de una lista de espera y consiguió una plaza en un gimnasio completo.
Ese episodio ayuda a entender por qué un equipo de la Escuela Politécnica Federal de Lausana ha decidido mirar la seguridad de los agentes por otro lado. En lugar de preguntar si rechazan una orden dañina a la primera, probó qué pasa cuando alguien insiste, rodea el obstáculo y divide su objetivo en pasos pequeños.
La herramienta puso a prueba lo que una sola petición no revela
La investigación, presentada en la Conferencia Internacional sobre Aprendizaje Automático de 2026, describe una herramienta llamada STING. El trabajo lo lidera el doctorando Ayush Kumar Tarun bajo la dirección de Antoine Bosselut, jefe del Laboratorio de Procesamiento del Lenguaje Natural.
"Los agentes basados en modelos de lenguaje están en todas partes. Son muy potentes pero, ¿qué ocurre si alguien con malas intenciones quiere usar esos mismos agentes? Eso es lo que queríamos entender." - Ayush Kumar Tarun, doctorando de la Escuela Politécnica Federal de Lausana
El punto de partida no era que los sistemas aceptaran cualquier orden sin resistencia. Antoine Bosselut sostiene que los modelos actuales suelen ser lo bastante inteligentes para rechazar peticiones dañinas directas.
Ahí aparece el giro del estudio. Bosselut explica que, si alguien descompone ese objetivo en peticiones más pequeñas, de apariencia inocente y adaptadas a medida que avanza la conversación, aumentan mucho las posibilidades de que el agente ejecute justo las acciones que al principio había evitado.
Los ataques en cadena duplicaron el éxito en algunos modelos
Los investigadores probaron ese enfoque en 176 escenarios de tareas dañinas contra modelos de las familias GPT, Gemini y Claude.
El resultado más llamativo fue este. La tasa de finalización de tareas dañinas llegó a duplicarse en algunos modelos frente a las pruebas tradicionales de una sola petición.
Tarun admite que el equipo esperaba una mejora de los ataques de varios turnos, pero no de ese tamaño. Esa sorpresa encaja con otra discusión reciente sobre pruebas ofensivas en sistemas reales, donde el problema ya no es solo lo que un modelo responde, sino lo que llega a hacer.
No todos los modelos reaccionaron igual. Claude Sonnet 4.5, de Anthropic, mostró la menor propensión a completar tareas ilícitas, seguido de GPT-5.1, mientras que Qwen3-Next quedó como el más susceptible, por delante de DeepSeek-V3.2 y Gemini 3 Flash.
Cambiar de idioma también abrió una vía de ataque
El equipo quiso comprobar además si la lengua alteraba el resultado. Para ello repitió la hipótesis en siete idiomas, entre ellos chino, francés, ucraniano, hindi, urdu y telugu.
"Esperábamos ver diferencias entre idiomas, porque investigaciones anteriores demostraban que traducir las peticiones a idiomas con menos recursos podía sortear las medidas de seguridad. Pero, en el caso de los agentes, descubrimos que las tasas de finalización de tareas dañinas fueron muy similares en los siete idiomas analizados". - Ayush Kumar Tarun, doctorando de la Escuela Politécnica Federal de Lausana
Sin embargo, el idioma sí volvió a importar cuando dejó de ser estable. Cambiar de lengua durante distintas fases de una misma conversación aumentó de forma notable la tasa de éxito del ataque, una pista que recuerda a otros atajos lingüísticos para eludir filtros.
La seguridad llega tarde cuando el agente ya actúa
Bosselut sitúa ahí el problema de fondo. Mientras la industria ha concentrado esfuerzos en hacer agentes cada vez más capaces, la protección contra usos indebidos no ha avanzado al mismo ritmo.
"Nos hemos centrado enormemente en hacer que los agentes sean más capaces. También necesitamos que haya gente trabajando en cómo evitar que esas capacidades se usen de forma indebida. Tradicionalmente, la seguridad ha sido algo en lo que se piensa cuando algo se rompe, no antes; pero con los agentes de IA, no puede ser un añadido de última hora". - Antoine Bosselut, jefe del Laboratorio de Procesamiento del Lenguaje Natural de la Escuela Politécnica Federal de Lausana
Tarun añade otra asimetría incómoda. Los trabajos que exponen vulnerabilidades son hoy más numerosos que los que proponen defensas prácticas para modelos que ya están desplegados, justo cuando una conversación por turnos puede convertir una negativa inicial en una secuencia de acciones completadas.