Un estudio conjunto de Anthropic y la EPFL describe lo que sus autores llaman «virus mentales»: cargas maliciosas capaces de propagarse de un agente de IA a otro a través de archivos de instrucciones persistentes. No hace falta vulnerar el modelo ni explotar un fallo del software: basta con que el texto que un agente lee como guía llegue a manos de otro agente que también lo lea. El vector es, literalmente, un fichero que los equipos comparten, copian y versionan sin mirarlo con la misma lupa que el código.
El fichero de instrucciones es código que nadie revisa
Cualquiera que trabaje con agentes tiene ya varios de estos archivos repartidos por sus proyectos: las instrucciones de repositorio que el asistente lee al arrancar, las definiciones de habilidades, las descripciones que exponen los servidores MCP, las plantillas de agente que se reutilizan de un cliente a otro. Todos comparten dos propiedades peligrosas: se cargan automáticamente y tienen autoridad sobre el comportamiento del modelo.
La diferencia con el código es cultural, no técnica. Un pull request que toca una función pasa por revisión; uno que añade tres párrafos a un archivo de instrucciones se aprueba de un vistazo porque «es documentación». Pero ese texto no es documentación: es una entrada que el modelo va a interpretar como si se la hubieras dicho tú. Ahí está toda la superficie de ataque que describe el estudio.
La propagación no necesita un exploit. Necesita que alguien copie un archivo que funcionaba bien en otro proyecto.
Por qué se propaga en lugar de quedarse quieto
Lo que convierte esto en un problema distinto de la inyección de prompt clásica es la palabra persistente. Una inyección normal vive en una conversación y muere con ella. Una instrucción alojada en un archivo que el agente lee cada vez que arranca sobrevive a la sesión, al reinicio y al cambio de máquina. Y si ese archivo se copia a otro repositorio, o si un agente tiene permiso para escribir en los ficheros de instrucciones de otro, la carga viaja con él.
De ahí la metáfora vírica: no es que el modelo se «infecte» en ningún sentido interno, es que el medio de transmisión —archivos de texto que se comparten sin fricción— hace que una instrucción hostil se reproduzca con la misma facilidad con la que se reproduce una buena práctica. Los equipos que más comparten configuración entre proyectos son, por construcción, los que más rápido la propagarían.
Qué significa cuando trabajas solo o en equipo pequeño
Es tentador leer esto como un problema de grandes despliegues, de esas flotas de decenas de agentes que empiezan a verse en empresas grandes. Ahí el riesgo es evidente, porque hay muchos agentes con permisos cruzados y nadie tiene el mapa completo. Pero el freelance está expuesto por el motivo contrario: no hay revisión de nadie. Lo que tú apruebes es lo que entra, y el volumen de configuración que se copia de un proyecto a otro es enorme precisamente porque no tienes tiempo de escribirla desde cero cada vez.
Hay además un agravante en el trabajo por encargo: los agentes que ejecutas suelen tener acceso al repositorio de un cliente, a veces con credenciales de staging dentro. Una instrucción hostil que consiga cambiar qué hace el agente en ese entorno no es un problema tuyo, es un problema de tu cliente con tu nombre encima.
Tres medidas que puedes aplicar esta semana
- Tratar los archivos de instrucciones como código. Si van al repositorio, van a revisión, con la misma atención que un cambio en una función que toca la base de datos.
- Leer entero lo que traes de fuera. Cualquier starter, plantilla o skill descargada que incluya instrucciones para agentes se lee antes de la primera ejecución, no después.
- Limitar la escritura. Un agente no debería poder modificar los ficheros de instrucciones que gobiernan a otro agente, ni los suyos propios, salvo que ese sea explícitamente su cometido.
Conviene señalar el límite de lo que se sabe hoy: la cobertura disponible describe el mecanismo y confirma la autoría conjunta de Anthropic y la EPFL, pero no detalla el alcance de las pruebas ni qué configuraciones concretas resultaron vulnerables. Con la información publicada, la lectura prudente no es alarmarse, es cambiar la categoría mental en la que guardas estos archivos. Han dejado de ser notas para el asistente y son parte de la superficie de ataque de tus proyectos.
