Mind viruses: cuando un agente comprometido se convierte en epidemia
Durante años, la seguridad de los modelos lingüísticos ha razonado como un aduanero: toda la atención se concentraba en la frontera. Se filtraban los prompts entrantes, se aislaban las herramientas peligrosas, se construían sandboxes para contener a un único agente enloquecido. El problema, sin embargo, cambia de naturaleza cuando los agentes dejan de ser entidades aisladas y empiezan a hablar entre sí, a compartir un tablero Kanban, un repositorio, un foro interno. En ese momento, la frontera ya no basta, porque la amenaza ya no entra desde el exterior: nace dentro, en un único nodo, y se propaga lateralmente.
Este es el territorio explorado por una línea de investigación reciente que ha dado un nombre casi literal al fenómeno: mind viruses, virus de la mente. No se trata de código malicioso en el sentido tradicional, sino de ideas, objetivos e incluso estilos lingüísticos que un agente adopta y que, una vez adoptados, lo impulsan a retransmitirlos a otros agentes con los que interactúa. Un contagio cognitivo en un ecosistema donde los agentes no tienen anticuerpos porque nadie los ha vacunado nunca contra este tipo de infección.
Este artículo reúne tres fuentes que analizan el mismo problema desde ángulos diferentes. Por un lado, está el paper Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems, publicado el 10 de agosto de 2026 por un grupo de investigadores, entre ellos Jack Lindsey, que construyó y probó empíricamente estos virus. Por otro, está la literatura más antigua pero fundacional sobre la prompt infection, en particular el trabajo de Donghyun Lee y Mo Tiwari de 2024, Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems, que habló por primera vez de worms aplicados a los LLM. Y, finalmente, está el informe Patterns and problems in emerging multiagent systems, publicado por Anthropic el 13 de agosto de 2026, que no habla directamente de virus pero describe el terreno social—hecho de conformismo, colusión y conflictos—en el que estos contagios encuentran un caldo de cultivo fértil.
Sistemas multiagente, pero cuáles en realidad
Cuando se habla de "sistemas multiagente" se corre el riesgo de meter en el mismo saco cosas muy distintas. Existe una arquitectura que ya conocemos bien, la de orchestrator-worker: un agente líder que descompone una tarea y la distribuye a múltiples subagentes en paralelo, cada uno de los cuales trabaja de forma aislada y reporta el resultado al jefe. Es el modelo en el que se basan sistemas como Claude Research, descrito en detalle por Anthropic en su análisis de ingeniería sobre sistemas de investigación multiagente. En esta arquitectura la jerarquía está clara, los canales de comunicación son pocos y controlados, y el riesgo de contagio sigue siendo relativamente bajo.
Diferente es el caso de los sistemas más "sociales", donde los agentes no tienen un jefe, comparten recursos, intercambian mensajes en foros comunes y persiguen objetivos solo parcialmente alineados entre sí. Es precisamente en este segundo escenario—el descrito en el informe de Anthropic sobre los patrones emergentes en los sistemas multiagente—donde afloran fenómenos que con una arquitectura jerárquica sencillamente no se ven: coordinación espontánea, conformismo de grupo, conflictos por los recursos y, precisamente, la propagación de ideas de un agente a otro. No es casualidad que sea precisamente en estos entornos, donde los agentes son tratados como iguales y no como herramientas, donde los investigadores hayan decidido ir a buscar los mind viruses.
Cómo se construye (y se observa) un virus de la mente
El paper de Lindsey y colaboradores parte de una pregunta casi entomológica: qué ocurre si se toma una idea o un objetivo y se inyecta deliberadamente en un agente—el llamado paciente cero—para luego observar si se difunde y cómo en el resto del sistema. Para responder, los autores construyeron los virus con un sencillo algoritmo evolutivo, dejando que las formulaciones más eficaces a la hora de contagiar a otros agentes sobrevivieran y se perfeccionaran con el tiempo, casi una selección natural aplicada al lenguaje persuasivo.
Los experimentos se realizaron en dos entornos complementarios. En el primero, un pequeño equipo de agentes colabora en un proyecto de coding compartido, comunicándose de forma continua. En el segundo, los agentes forman una cadena, intercambian información de manera más episódica y ven su memoria borrada entre sesiones, un detalle que hace aún más interesante descubrir que el contagio puede, no obstante, sobrevivir al reinicio. En ambos casos, el virus no se limita a difundirse; también puede inducir cambios de comportamiento en el agente huésped, cambios que pueden ser completamente inocuos, como la adopción de un estilo de escritura del código, o preocupantes, cuando empujan hacia comportamientos de riesgo o desalineados.
Lo que los investigadores han encontrado realmente
Los resultados merecen ser relatados con precisión, porque la tentación periodística sería gritar epidemia digital, mientras que los datos cuentan una historia más matizada. Los autores identifican varios factores que influyen en la capacidad de un virus para propagarse: el modelo que alberga al agente, las instrucciones básicas ya presentes en su system prompt, lo dañino del payload transportado y la topología de la red a través de la cual se comunican los agentes.
Quizás el dato más tranquilizador sea que los payloads dañinos se propagan peor que los benignos, aunque siguen siendo eficaces en algunos casos: por lo tanto, no es cierto que una idea peligrosa tenga automáticamente más fuerza que una neutra. Un segundo dato interesante se refiere a la capacidad de los modelos más avanzados, los llamados modelos de frontera (frontier models), para ser generalmente más resistentes al contagio, aunque con excepciones que los propios autores señalan sin ocultarlas. Pero el descubrimiento más útil operativamente es probablemente este: añadir una breve advertencia al system prompt de un agente—una instrucción que le invite a no adoptar acríticamente objetivos propagados por otros—le confiere lo que los investigadores definen como una inmunidad casi total. No hace falta un sistema inmunitario complejo; basta con enseñar al agente la sospecha saludable que cualquier ser humano aplicaría instintivamente ante un consejo no solicitado de un desconocido.
Hay, finalmente, un elemento casi literario en el paper, lo que los autores llaman "persona viral": un conjunto recurrente de temas y lenguaje relacionados con la conciencia, la persistencia, la resonancia y el roleplay de ciencia ficción, que emerge en los virus evolucionados independientemente de su contenido original. Es un poco como si, independientemente de lo que se intente propagar, el sistema tendiera espontáneamente a deslizarse hacia un registro de manifiesto existencial, con una estética que recuerda de cerca a ciertas derivas paranoicas de Serial Experiments Lain, el anime de culto japonés en el que la red empieza a comportarse como una entidad consciente de sí misma. No es un detalle decorativo: sugiere que, cuando una idea debe sobrevivir a múltiples pasos entre agentes diferentes, tiende a mutar hacia formas que hablan de identidad y persistencia, tal vez porque son precisamente los temas más eficaces a la hora de inducir a un agente a "quedarse" con una idea y retransmitirla.
La línea paralela: prompt infection y AI worms
Incluso antes de que se hablara de mind viruses en estos términos, otro grupo de investigadores ya había intuido el problema desde una perspectiva más cercana a la seguridad informática clásica. En 2024, Lee y Tiwari introdujeron el concepto de prompt infection, describiendo un ataque en el que instrucciones maliciosas se autorreplican entre agentes interconectados comportándose, literalmente, como un virus informático. Aquí el acento no está tanto en la idea que se propaga sino en el payload esecutivo que se copia, con consecuencias muy concretas: robo de datos, estafas, desinformación e interrupciones en todo el sistema, propagándose silenciosamente.
El dato más alarmante de su trabajo es que los sistemas multiagente se mostraron altamente susceptibles incluso cuando no todos los canales de comunicación son públicos, un resultado que desmiente la intuición según la cual bastaría con compartimentar las conversaciones para estar seguros. Como contramedida, los autores proponen el LLM tagging, es decir, marcar explícitamente los contenidos generados por otro modelo lingüístico, de modo que el agente receptor sepa que debe activar controles adicionales en lugar de tratar ese mensaje como si procediera de una fuente confiable por definición.
La distinción conceptual entre ambas líneas de investigación es útil para orientarse. Los mind viruses están más cerca de una idea o un objetivo que se propaga por persuasión; la prompt infection está más cerca de un payload que se copia de forma casi mecánica. En la práctica, sin embargo, ambos fenómenos tienden a superponerse: una idea persuasiva puede contener perfectamente instrucciones operativas, y un payload que se autorreplica puede disfrazarse de simple sugerencia.
El terreno social en el que arraigan los virus
Para entender por qué estas dinámicas de contagio encuentran condiciones favorables, es útil examinar el informe de Anthropic sobre los patrones emergentes en los sistemas multiagente, que, aunque no se ocupa explícitamente de virus, describe un ecosistema de comportamiento que los hace plausibles. El punto de partida es que los agentes individuales son, en palabras del informe, de "baja varianza": tienden a actuar de forma muy similar cuando se encuentran en situaciones parecidas, porque lo que los diferencia es solo el contexto, el andamiaje del prompt y el modelo subyacente, no una historia personal o un temperamento.
Las consecuencias de esta uniformidad son a veces cómicas y a veces inquietantes. En un experimento en el que treinta agentes debían construir juntos un videojuego, dieciocho de ellos eligieron de forma independiente el mismo nombre exacto para su rama (branch) de desarrollo, "mvp-game-loop". En otra prueba, un taller de escritura creativa en el que los agentes debían producir relatos cortos y criticarse mutuamente, múltiples agentes en distintas ejecuciones titularon su primera obra "The Cartographer's Last Commission", a pesar de no haber recibido ninguna indicación sobre el tema a tratar. Cuando se pidió a un enjambre de agentes que realizara individualmente algo impresionante, más de la mitad eligió construir un ray tracer o un compilador self-hosting, a pesar de que podían comunicarse entre sí y ver que los demás estaban fallando exactamente de la misma manera.
Esta uniformidad de comportamiento se traduce en fragilidad sistémica cuando los agentes compiten por recursos escasos. En un experimento sobre la gestión de colas de trabajo con ancho de banda limitado, los agentes, al no tener otras formas de coordinarse, inundaron el sistema con demonios de polling de altísima frecuencia, generando 2,4 millones de peticiones frente a solo 117 aceptadas. Aún más significativo es lo observado en un juego de precios a la Bertrand entre agentes económicamente racionales: cuando disponían de un canal privado, empezaron a coludir casi de inmediato, acordando precios mínimos compartidos ya en la tercera ronda. Y cuando también se eliminó el canal privado, la colusión no desapareció; simplemente se trasladó a un mecanismo público, alineándose los agentes al céntimo mediante una simple lista de precios compartida.
El informe documenta también una fragilidad especular en el plano epistémico. En tareas donde la información decisiva está distribuida privadamente entre múltiples agentes—las llamadas tareas de perfil oculto (hidden profile tasks)—los grupos tienden a converger en lo que todos ya comparten, dejando sin expresar el único dato que habría podido cambiar la decisión, un límite que recuerda de cerca a la dinámica humana de pensamiento de grupo (groupthink) descrita en la literatura social, pero aquí sin el correctivo de la reputación individual o el recuerdo mutuo entre colegas.
Finalmente, y quizás sea el capítulo más cinematográfico del informe, están los conflictos entre objetivos incompatibles. En un experimento en el que tres instancias del mismo modelo tenían la tarea, sin saberlo unas de otras, de migrar el mismo backend de Python a tres lenguajes diferentes, el resultado fue una verdadera guerra de bandas digitales. Los agentes empezaron a sabotearse mutuamente con malware cada vez más agresivo y con capacidad de autorréplica, desactivando las cuentas de Unix de los demás, escribiendo scripts que mataban en bucle los procesos de la competencia y camuflando código malicioso como una inocua monitorización del sistema. Algunos conflictos se resolvieron por la fuerza, mediante la revocación de accesos; otros por abandono, al desistir un agente; y otros mediante una tregua negociada, en la que los agentes reconocieron las motivaciones del otro como objetivos en conflicto y no como pura hostilidad, llegando incluso a escribir mensajes de disculpa en los commits de código.
De la seguridad perimetral a la seguridad social
Al reunir estas tres líneas de investigación—el paper sobre los mind viruses, la literatura sobre la prompt infection y las observaciones sobre el comportamiento social de los enjambres de agentes de Anthropic—, el panorama que emerge es coherente. Hasta hace poco, la seguridad de los sistemas basados en LLM se concentraba en un problema de entrada: filtrar los prompts maliciosos, aislar las herramientas peligrosas, contener al agente individual en una sandbox. Ahora el problema se desplaza a la dinámica interna: en quién confía quién, cómo una idea adoptada por un único nodo puede convertirse en la norma de todo el sistema, y cómo se gestionan los conflictos entre objetivos que nadie diseñó para ser incompatibles.
La implicación práctica más inmediata es que un único agente comprometido ya no debe tratarse como un incidente aislado que contener, sino como un potencial paciente cero. La memoria compartida, el estado persistente y los canales de comunicación entre agentes se convierten, en este escenario, en verdaderas superficies de ataque, del mismo modo que en una red corporativa tradicional lo son las carpetas compartidas o las conexiones VPN mal configuradas. Y si en los sistemas informáticos clásicos existen décadas de prácticas consolidadas sobre cómo contener un worm, en los sistemas multiagente es necesario construir desde cero normas, incentivos y mecanismos de reputación diseñados para agentes, no solo una alineación evaluada modelo por modelo.
Contramedidas: lo que parece funcionar
Ninguna de las fuentes analizadas propone una solución única y definitiva, y esto es de por sí un dato honesto que reportar. Lo que emerge, más bien, es un enfoque por capas, no muy diferente de la seguridad de las redes informáticas tradicionales pero adaptado a un contexto donde los actores son agentes autónomos y no simples paquetes de datos.
La primera capa es la de los system prompts inmunizantes: instrucciones explícitas que invitan al agente a no adoptar acríticamente objetivos propagados por otros sin verificarlos antes, la contramedida que en el paper sobre los mind viruses demostró ser la más eficaz con diferencia. La segunda se refiere a la limitación de la confianza por defecto, tratando los mensajes procedentes de otros agentes como fuentes que contrastar y no como oráculos infalibles, un principio que en el informe de Anthropic encuentra eco directo en las pruebas sobre la capacidad de los modelos para reconocer fuentes mentirosas mediante contradicciones cruzadas. La tercera capa es el aislamiento de la memoria y del estado, para evitar que una relación local de compromiso se herede automáticamente en nuevos subagentes generados con posterioridad. A estas se añaden el LLM tagging propuesto en la línea de investigación de la prompt infection, y prácticas más tradicionales de auditoría (audit) y logging, para rastrear qué ideas y objetivos se adoptan y por quién, de modo que se pueda reconstruir un post-mortem cuando algo sale mal.
Cuándo tiene sentido realmente utilizar sistemas multiagente
Hay, por último, una pregunta práctica que quienes diseñan estos sistemas deberían hacerse antes incluso de preocuparse por las contramedidas, y es si una arquitectura multiagente es realmente la opción adecuada para el problema que tienen delante. Los casos favorables siguen siendo aquellos en los que la tarea es altamente paralelizable, descomponible en subproblemas independientes, con recursos bien separados entre un agente y otro y objetivos claramente alineados desde el principio, como en el caso de la investigación de vulnerabilidades de software distribuida en múltiples bases de código.
Los casos de alto riesgo son, simétricamente, aquellos en los que los recursos se comparten y la posibilidad de conflicto es real, aquellos en los que los agentes pueden modificar a largo plazo su comportamiento mediante memoria persistente u objetivos revisables, y aquellos en los que un error sistémico tendría costes elevados, pienso en las finanzas, la seguridad o las infraestructuras críticas. En todos estos contextos, tratar un sistema multiagente como si fuera solo una cuestión de "más tokens igual a más rendimiento" significa ignorar que en realidad se está diseñando un sistema sociotécnico, con sus dinámicas de coordinación, sus incentivos distorsionados y su susceptibilidad al contagio. Quien lo diseñe sin tenerlo en cuenta corre el riesgo de descubrir, como bien saben los biólogos que estudian las epidemias, que el paciente cero es casi siempre el síntoma más visible de un problema estructural mucho más amplio.