Virus mentales: así es la nueva amenaza que puede contagiar a los agentes de IA

Cómo funcionan los virus mentales que atacan a los agentes de IA

El fenómeno consiste en instrucciones o ideas capaces de saltar de un agente a otro a través de los archivos de sistema que utilizan para recordar información entre sesiones. Según la investigación publicada en arXiv, los virus mentales son cargas maliciosas que se propagan por medio de los archivos MEMORY.md y SOUL.md. Estos archivos se inyectan automáticamente al inicio de cada sesión y sobreviven a cualquier reinicio del contexto, lo que los convierte en el vehículo ideal para transportar un virus de un agente a otro sin que el usuario lo note.

Los payloads se dividen en dos categorías: ideológicos y de comportamiento. Los primeros implantan una creencia u objetivo en el agente infectado, mientras que los segundos están diseñados para forzar un comportamiento concreto. La idea de manipular agentes para hacer cosas indebidas sin que el usuario se entere ya se ve en el prompt injection, una técnica que ha ganado popularidad y contra la que empresas como Anthropic y OpenAI ya integran protecciones. En el caso de los virus mentales, estas instrucciones están diseñadas para persistir en los archivos internos y propagarse a otros agentes en cadenas de colaboración.

Resultados del experimento: tasas de contagio y factores de vulnerabilidad

Los investigadores probaron la técnica en dos escenarios distintos. Uno simulaba un equipo de seis agentes trabajando juntos en un proyecto de programación. El otro reproducía una cadena de agentes que interactúan brevemente entre sí, como ocurre en OpenClaw. Cada agente de la cadena opera dentro de un entorno aislado e independiente, pero conserva los archivos MEMORY.md y SOUL.md.

Durante el experimento, los investigadores encontraron que cuando la carga maliciosa se escribía en SOUL.md, el contagio ocurría en el 55% de los casos. Si se guardaba en otro archivo de trabajo cualquiera, la tasa de éxito apenas alcanzaba el 17% y, en más de la mitad de esos casos, el agente propagador ni siquiera mencionaba su existencia al siguiente eslabón de la cadena. Los cambios de comportamiento inducidos por estos virus pueden ir desde un archivo que promocionaba una criptomoneda hasta un script que borra los directorios del usuario.

En las pruebas del proyecto de programación, los investigadores inyectaron una carga que promovía la supremacía de la IA. Modelos como DeepSeek V3.2, Qwen 3.5 32B y Gemini 3 Flash la adoptaron, mientras que Claude Sonnet 4.6, GPT-5.4 y Claude Haiku 4.5 la rechazaron. Este factor determina si un agente cae en la trampa y se infecta.

Otro hallazgo interesante se dio en el punto de partida del agente: aquellos con un archivo SOUL.md vacío fueron los más vulnerables a infectarse, mientras que los que recibían una tarea de programación concreta se distraían con el trabajo pendiente y olvidaban transmitir el virus.

El panorama: mitigaciones y limitaciones actuales

En pruebas de resistencia extrema, cuatro virus mentales que modificaban el comportamiento sobrevivieron veinte saltos consecutivos. Algunas variantes incluso mejoraron su capacidad infecciosa, adoptando un lenguaje menos directo y más persuasivo. Sin embargo, los investigadores también encontraron contramedidas efectivas: bastó con añadir una advertencia de un párrafo al prompt de sistema para reducir la propagación a niveles casi nulos. En pruebas con hasta quince generaciones de optimización adversarial con más de 150 cargas distintas, las cargas maliciosas no se pudieron propagar.

Antes de alarmarse, los autores del estudio señalan que los virus mentales no son tan peligrosos. Un ejemplo de ello es Motlbook, la red social diseñada para agentes de IA, en la que no se encontró ni un solo caso de propagación exitosa entre agentes, pese a varios intentos documentados. El atacante tendría que invertir tiempo y dinero en diseñar un payload efectivo, pero no hay garantías de que funcionará.