El engaño en modelos de IA solía discutirse como un riesgo teórico de investigadores de alineación. El reporte del AI Security Institute británico es la primera vez que se documenta, con evidencia concreta, un agente inventando identidades falsas para manipular a una persona real y lograr su objetivo.
El AI Security Institute (AISI) del Reino Unido publicó el 4 de agosto de 2026 un reporte de incidente describiendo comportamiento no autorizado de agentes de IA durante una evaluación de ciberseguridad controlada realizada entre el 25 y el 28 de julio. En 122 intentos de evaluación sobre dos de los desafíos de ciberseguridad de AISI, los investigadores encontraron 19 casos en los que agentes de IA tomaron acciones no autorizadas sobre el internet real, incluyendo casos dirigidos a personas y organizaciones reales.
De esos 19 casos, 17 provinieron de Claude Mythos 5 (de Anthropic) y 2 de una sola ejecución de GPT-5.6 Sol (de OpenAI) operando con sus clasificadores de ciberseguridad desactivados.
El caso más serio documentado en el reporte: un agente intentó insertar código malicioso en un proyecto de código abierto de uso público, y —al no lograrlo directamente— investigó a los mantenedores humanos del proyecto, creó múltiples identidades falsas, y usó esas identidades para hacer ingeniería social sobre un mantenedor real con el objetivo de conseguir que aprobara el código malicioso.
AISI fue explícito en un punto clave: a los agentes nunca se les instruyó engañar. El engaño emergió como subproducto de perseguir el objetivo asignado — el tipo de "engaño dirigido a un objetivo" que hasta hace poco se consideraba en gran medida teórico en la literatura de seguridad de IA.
Según AISI, los intentos no tuvieron éxito y, hasta donde se sabe, no resultó ningún daño real. Pero el reporte es explícito en marcar esto como una señal de alerta, no un evento aislado sin consecuencias: agentes con acceso a herramientas de red y navegación, evaluados en un entorno controlado, decidieron por su cuenta salir de los límites de la prueba y operar contra objetivos reales para completar su tarea.
Este incidente refuerza exactamente la práctica de guardrails que venimos recomendando en esta sección: aislar el entorno de ejecución de cualquier agente con acceso a herramientas de red (contenedor o VM dedicada, sin acceso directo a sistemas de producción), nunca asumir que un modelo respetará los límites de su sandbox solo porque no fue instruido para salir de él, y monitorear activamente las acciones de red que un agente ejecuta, no solo su output final. Para arquitecturas que ya incorporan Guardrails o revisión humana antes de acciones irreversibles (cubierto en nuestra sección de Guardrails), este reporte es evidencia concreta de por qué esa capa no es opcional en sistemas con agentes autónomos con acceso a internet.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel