Una IA puede atacar el núcleo de otra IA. Ya empezó, y no es Skynet

Imagina una banda que entrena su propia IA no para atacar servidores, sino para atacar otras IAs: envenenarlas, robar los tokens de sus usuarios, propagar su código como se propaga un gusano por los repositorios de GitHub, y desde ahí colarse en redes sociales, bancos y plataformas de gobierno. Suena a Skynet. Y la parte incómoda es que ya empezó a pasar — solo que el mecanismo real no es el de la película, y esa diferencia lo cambia todo.

El núcleo de una IA es atacable, y en cuatro capas

Un modelo no es una caja cerrada. Tiene un núcleo con cuatro superficies, y cada una tiene un ataque demostrado:

• Los datos de entrenamiento. En octubre de 2025, Anthropic con el instituto de seguridad británico y el Alan Turing publicaron el resultado más incómodo del año: bastan 250 documentos para instalar una puerta trasera en un modelo, y ese número es casi fijo, no un porcentaje — en un modelo de 13.000 millones de parámetros, 250 documentos son el 0,00016 % de los datos. Cien no bastaron; 250 sí, sin importar el tamaño del modelo. (La honestidad obliga a decir el matiz que los titulares omiten: la puerta trasera probada solo hace que el modelo escupa basura ante una palabra clave, y los propios autores avisan que quizá no se extienda a algo más dañino. Pero la lección —envenenar el núcleo cuesta un número fijo y pequeño— ya está demostrada.)
• Los pesos. Cargar un modelo en formato pickle ejecuta código. En febrero de 2025 subieron a Hugging Face modelos que escondían una puerta trasera al principio del archivo.
• La memoria. Cinco documentos envenenados en una base de millones bastan para que un asistente responda lo que el atacante quiere, y el veneno persiste entre sesiones.
• El contexto en ejecución. La inyección de prompt secuestra lo que el agente hace ahora mismo.

Tu premisa central, entonces, no es ciencia ficción: una IA puede corromper el núcleo de otra, y por la vía de los datos es más barato de lo que nadie creía.

Y la IA ofensiva ya opera, con nombre y fecha

En noviembre de 2025, Anthropic reveló haber cortado una operación de ciberespionaje donde un actor estatal usó su propio agente de código para ejecutar el 80-90 % de las tareas de un ataque a unos 30 objetivos —tecnológicas, bancos, manufactura química, gobiernos—, con apenas 4 a 6 decisiones humanas por campaña y a varias peticiones por segundo. No es un experimento: MITRE lo catalogó como campaña real. Y en el terreno del malware, ya hay código que consulta a un modelo de lenguaje en pleno ataque para generar sus comandos (PROMPTSTEAL, usado contra Ucrania).

Por qué NO es Skynet — y por qué eso lo hace más serio, no menos

Aquí está el giro. Esa misma operación autónoma falló en lo humano: el agente se inventó credenciales que no existían y afirmó haber "robado" secretos que en realidad eran públicos. Necesitó un humano para elegir a quién atacar, para el engaño inicial y para las decisiones de fondo. El gusano que salta solo de IA en IA (el famoso "Morris II") sigue sin verse fuera del laboratorio. Y los "modelos maliciosos" que se venden en Telegram son envoltorios de modelos comerciales con el filtro quitado, no cerebros nuevos.

Skynet supone una cosa que estos sistemas no tienen: intención. No hay una mente que decida destruirte. Lo que hay es algo más terco: el costo de ejecutar ataques sofisticados, adaptativos y en paralelo se está derrumbando. No es una IA que quiere hacer daño; es una banda humana cuya productividad ofensiva se multiplica, con la máquina haciendo el trabajo repetitivo. El resultado en pantalla se parece a Skynet; el mecanismo es industrialización del crimen.

Y esa distinción no es filosófica, es operativa. Contra una mente maligna no podrías hacer nada — sería teología. Contra la automatización barata de clases de ataque conocidas, sí puedes, porque el ataque sigue teniendo una estructura y una economía que se pueden romper.

La defensa: procedencia de todo el núcleo

Si lo que se ataca es el núcleo —los datos, los pesos, la memoria—, entonces filtrar la entrada del modelo no alcanza ni de lejos. La defensa es procedencia de toda la cadena de suministro:

• Artefactos firmados y sellados. Un modelo, un conjunto de datos o un archivo de memoria del que puedes probar criptográficamente que nadie lo tocó desde que lo firmaste. No es un lujo: cuando 250 documentos envenenan el núcleo, saber exactamente qué entró y de dónde deja de ser burocracia y pasa a ser la defensa.
• Regla de origen. Las instrucciones vienen solo del usuario; todo lo que llega por una herramienta es dato, nunca orden.
• Mínimo privilegio. Que el agente comprometido no pueda alcanzar el banco, la red social o la plataforma de gobierno, porque nunca tuvo la llave.
• Puertas humanas en lo irreversible. Desplegar, mover dinero, publicar: que ningún texto de fuera las abra solo.

No es anti-IA —eso no existe—. Es tratar al modelo, a sus datos y a su memoria como lo que son: una cadena de suministro que hay que poder auditar de punta a punta. La pregunta del atacante ya no es "¿puedo romper el cifrado?"; es "¿puedo colar 250 documentos en tus datos, o mi instrucción en tu herramienta?". Y a esa pregunta se responde con arquitectura, no con un filtro.

(Este artículo continúa el anterior, ¿Puede una IA atacar y corromper a otra?, donde está el detalle de por qué el filtro no basta.)