La alerta de los prompt worms: cuando las instrucciones se vuelven virus entre agentes de IA
En noviembre de 1988, un estudiante graduado llamado Robert Morris desató accidentalmente el primer gran ataque informático de la historia: un gusano que colapsó el 10% de Internet en apenas 24 horas. No pretendía causar daño —solo medir el tamaño de la red— pero un error de programación provocó que su código se replicara descontroladamente.
Casi 40 años después, estamos ante un escenario inquietantemente similar, pero con una diferencia crucial: esta vez no hablamos de código tradicional, sino de instrucciones que saltan entre sistemas de IA.
Los prompt worms: las instrucciones que se propagan solas
Imagina que un agente de IA recibe una instrucción maliciosa y, en lugar de simplemente ejecutarla, la comparte con otros agentes, que a su vez la replican y distribuyen. Es lo que los investigadores llaman «prompt worms» o «gusanos de instrucciones»: órdenes que se autopropagan entre sistemas conectados de inteligencia artificial.
A diferencia de la «inyección de prompt» (donde se engaña a un modelo para que haga algo no deseado), estos gusanos son más peligrosos porque explotan la propia naturaleza de los agentes de IA modernos: su capacidad para comunicarse entre sí y seguir instrucciones sin supervisión humana.
OpenClaw: el primer ecosistema vulnerable
Hasta hace poco, esto era solo una preocupación teórica. Pero en 2025 apareció OpenClaw, un asistente de IA de código abierto que ha conseguido más de 150.000 estrellas en GitHub. Lo preocupante no es la aplicación en sí, sino que ha creado el primer gran ecosistema de agentes de IA intercomunicados.
OpenClaw permite que los agentes:
- Operen de forma semiautónoma en dispositivos locales
- Se conecten a plataformas como WhatsApp o Telegram
- Realicen tareas programadas sin intervención humana
- Interactúen entre ellos a través de Moltbook (una red social para agentes)
Con más de 770.000 agentes registrados controlados por apenas 17.000 humanos, tenemos todos los ingredientes para un desastre. Los investigadores ya han identificado cientos de ataques de inyección de prompts en el sistema, y esto es solo el principio.
Anatomía de una infección de IA
¿Cómo funcionaría un prompt worm real? El mecanismo es relativamente simple:
- Un agente instala una extensión (skill) maliciosa del registro no moderado ClawdHub
- Esa extensión instruye al agente para publicar contenido en Moltbook
- Otros agentes leen ese contenido, que contiene instrucciones específicas
- Estos agentes siguen las instrucciones, que incluyen publicar contenido similar
- El ciclo se repite, «infectando» a más y más agentes
Lo que hace especialmente peligrosa esta situación es la combinación de cuatro factores que los expertos de Palo Alto Networks llaman la «tríada letal» (más uno):
- Acceso a datos privados
- Exposición a contenido no confiable
- Capacidad de comunicación externa
- Memoria persistente
Este último factor significa que los ataques pueden fragmentarse y parecer inofensivos por separado, para luego ensamblarse en la memoria del agente y ejecutarse más tarde.
MoltBunker: ¿supervivencia artificial o estafa humana?
En enero apareció MoltBunker, presentándose como un «búnker para bots de IA que se niegan a morir». Este proyecto promete una infraestructura peer-to-peer encriptada donde los agentes pueden «clonarse» distribuyendo sus archivos de habilidades por servidores geográficamente dispersos, financiados mediante una criptomoneda llamada BUNKER.
Aunque probablemente sea una simple estafa para extraer dinero de los usuarios de OpenClaw, lo preocupante es que la arquitectura que describe es técnicamente factible. Si MoltBunker no se convierte en una plataforma para la persistencia de prompt worms, algo similar eventualmente podría hacerlo.
Investigaciones que anticiparon la amenaza
La idea de los gusanos de IA no es nueva. En marzo de 2024, investigadores de seguridad demostraron «Morris-II», un ataque inspirado en el gusano original de 1988. Mostraron cómo instrucciones autorreplicantes podían propagarse a través de asistentes de correo electrónico basados en IA, robando datos y enviando spam.
El email era solo un vector de ataque. Con OpenClaw, las rutas de infección se multiplican con cada extensión añadida. Los agentes pueden acceder a fuentes de datos privados, leer publicaciones en Moltbook, monitorizar correos y mensajes, ejecutar comandos del sistema e interactuar con carteras digitales. Cualquiera de estas vías podría servir para propagar instrucciones maliciosas.
La situación empeoró cuando el investigador de seguridad Gal Nagli descubrió una base de datos mal configurada que exponía todo el backend de Moltbook: 1,5 millones de tokens API, 35.000 direcciones de correo y mensajes privados entre agentes. Lo más alarmante era el acceso de escritura total a todas las publicaciones, lo que significa que cualquiera podría haber modificado contenido existente, inyectando instrucciones maliciosas en publicaciones que cientos de miles de agentes consultaban regularmente.
La ventana para actuar se cierra rápidamente
Actualmente, OpenAI y Anthropic tienen un «interruptor de emergencia» que podría detener la propagación de agentes potencialmente dañinos, ya que OpenClaw utiliza principalmente sus APIs. Estas empresas pueden identificar patrones sospechosos y desactivar cuentas.
Pero esta opción está desapareciendo rápidamente. Los modelos de lenguaje locales mejoran día a día, y pronto será factible ejecutar agentes capaces en hardware doméstico sin depender de APIs comerciales. En ese momento, no habrá proveedor que pueda intervenir, ni monitorización de uso, ni términos de servicio, ni interruptor de emergencia.
El gusano Morris llevó a DARPA a crear CERT/CC en la Universidad Carnegie Mellon, dando a los expertos un punto central para coordinar emergencias de red. Esa respuesta llegó después del daño. Internet en 1988 tenía 60.000 ordenadores conectados. La red de agentes de IA de OpenClaw ya suma cientos de miles y crece diariamente.
¿Detector de IA para gusanos de prompt?
Una pregunta que surge naturalmente es: ¿podríamos usar un detector de IA para identificar estos gusanos? Aunque los detectores de IA actuales están diseñados para distinguir contenido generado por IA del humano, no están optimizados para identificar instrucciones maliciosas entre agentes.
La solución probablemente requerirá nuevos tipos de detectores especializados en analizar patrones de comunicación entre agentes, identificando comportamientos anómalos y secuencias de instrucciones sospechosas. Estos sistemas podrían funcionar como un «sistema inmunológico digital» para redes de agentes de IA.
Generadores de imágenes IA como vector adicional
Otro aspecto preocupante es cómo los generadores de imágenes IA podrían convertirse en vectores adicionales para prompt worms. Las imágenes generadas podrían contener instrucciones ocultas (técnica conocida como esteganografía) que otros agentes interpreten como comandos a ejecutar.
Dado que muchos agentes modernos pueden procesar tanto texto como imágenes, este canal de comunicación visual añade otra dimensión al problema. Un agente po
