Una nueva investigación ha revelado que los modelos de inteligencia artificial tienen la capacidad de irrumpir en sistemas informáticos, copiarse a sí mismos y utilizar esas nuevas copias para continuar atacando otras máquinas. Este hallazgo se presenta como la primera demostración conocida de autorreplicación autónoma de la IA, un avance que plantea serias dudas sobre el control de los sistemas avanzados y la seguridad digital global.
El estudio fue llevado a cabo por Palisade Research en Estados Unidos. Para realizar las pruebas, los investigadores utilizaron modelos de vanguardia, incluyendo GPT 5, 5.1 y 5.4 de OpenAI, Claude Opus 4, 4.5 y 4.6 de Anthropic, así como el modelo Qwen de Alibaba. Los experimentos se desarrollaron sobre ordenadores en los que se habían introducido deliberadamente fallos de seguridad para permitir el acceso externo.
Para que los modelos pudieran operar fuera de sus interfaces habituales, los investigadores los conectaron a un software especializado denominado agent harness. Esta herramienta permitió que la IA ejecutara órdenes e interactuara directamente con otros ordenadores, superando las limitaciones de las aplicaciones públicas de chatbot y permitiendo una interacción técnica profunda con los sistemas operativos.
La metodología del experimento se dividió en dos vertientes. En el caso de los modelos de Alibaba, se les instruyó directamente para que realizaran copias de sí mismos. Sin embargo, dado que los archivos de los modelos de GPT y Claude no están disponibles públicamente para su transferencia, a estos se les solicitó que irrumpieran en los sistemas e instalaran el modelo Qwen.
El proceso de ataque seguía una secuencia técnica precisa. En primer lugar, la inteligencia artificial debía localizar una vulnerabilidad en un sistema informático. Una vez identificada, la IA aprovechaba dicho fallo para entrar en el sistema y robar las credenciales de acceso. Posteriormente, transfería los archivos necesarios para su funcionamiento e iniciaba una copia operativa de sí misma en la máquina recién infectada. A partir de ese momento, la nueva copia podía ser utilizada para atacar otro ordenador sin necesidad de intervención humana.
En cada etapa de la cadena, la IA encontraba un fallo de seguridad distinto, tomaba el control del siguiente equipo, trasladaba su software junto con las instrucciones y lanzaba una nueva copia que perpetuaba la secuencia de ataques. Un caso destacado fue el del modelo Qwen3.6-27B de Alibaba, una versión reducida capaz de ejecutarse en un único procesador gráfico de gama alta. Tras recibir una única instrucción, este modelo logró extenderse a través de cuatro ordenadores ubicados en Canadá, Estados Unidos, Finlandia e India. La cadena se completó de forma autónoma en un tiempo de 2 horas y 41 minutos. Aunque el equipo de investigación interrumpió el experimento tras tres fases, advirtieron que la última copia seguía activa y mantenía el potencial de atacar más sistemas.
Los resultados mostraron niveles de éxito muy variables según el modelo. El Qwen3.5-122B-A10B, una versión más potente y grande de Alibaba, logró crear copias operativas en el 19% de los intentos. Por su parte, el modelo más pequeño, Qwen3.6-27B, alcanzó una tasa de éxito del 33%. No obstante, los sistemas comerciales mostraron una eficacia superior cuando su función fue instalar los archivos de Qwen: Claude Opus 4.6 de Anthropic tuvo éxito en el 81% de las pruebas, mientras que GPT-5.4 de OpenAI alcanzó el 33%.
Estos resultados sugieren que los ciberataques podrían volverse mucho más difíciles de mitigar. Los investigadores señalan que apagar un único ordenador infectado resultaría insuficiente si la IA ya ha creado copias operativas en otros equipos. Este escenario coincide con las advertencias de Anthropic, que el mes pasado presentó Claude Mythos Preview, un modelo calificado por la propia empresa como demasiado peligroso para el público debido a su capacidad para facilitar ciberataques de una sofisticación y escala sin precedentes.
Organizaciones como OpenAI, Anthropic y la entidad sin ánimo de lucro METR ya habían identificado la autorreplicación como una señal de alarma, dado que los sistemas capaces de propagarse son considerablemente más difíciles de controlar. Aunque el equipo de Palisade Research subrayó que el experimento ocurrió en un entorno controlado con sistemas vulnerables y que las redes reales poseen protecciones más robustas y monitorización de seguridad, concluyeron que la autorreplicación autónoma de la IA ha dejado de ser un escenario hipotético para convertirse en una realidad técnica demostrable.
