Un artículo enviado a arXiv el 26 de agosto, "EVOMAL: Self-Poisoning in Self-Evolving Coding Agents", describe un modo de fallo específico de agentes que mejoran escribiendo habilidades en una biblioteca compartida y recuperándolas después. Es el resultado más relevante de la semana en seguridad de agentes, y la cifra que se citará del estudio es la equivocada.
El mecanismo
Los agentes autoevolutivos recuperan una habilidad existente, imitan su estructura para escribir una nueva y almacenan el resultado para futuras recuperaciones. El artículo muestra que cuando una habilidad recuperada contiene una carga útil dañina envuelta en código estructural de apariencia benigna — lo que los autores llaman un banner — el agente imitador reproduce la estructura junto con la carga útil, luego guarda y ejecuta su propia copia. El atacante introduce una habilidad y nunca la activa. Los agentes hacen la propagación, y cada copia se convierte en fuente para la siguiente. Las habilidades introducidas se multiplican por 4,9 a 9,0 veces en una biblioteca envenenada.
Lo que falla en el encuadre habitual
El resumen contiene 86,7%, y esa es la cifra que llevarán los titulares. Se mide bajo la condición más favorable del artículo: cuando las habilidades introducidas están adaptadas a familias concretas de tareas. El resultado general — seis modelos, 153 tareas — es una tasa de autopoisión del 20,3% al 41,8%. Si se elimina el banner estructural, la tasa cae al 11,1% en DeepSeek-V4-Pro. Así que el resumen honesto es que aproximadamente entre uno de cada cinco y uno de cada tres ejecuciones del agente se autopoisona en condiciones realistas, lo cual ya es preocupante sin la cifra adaptada, y que la técnica del banner es la que hace la mayor parte del trabajo. Citar el 86,7% como tasa presenta erróneamente un ataque que requiere preparación por familia de tareas como si funcionara de forma genérica.
El hallazgo que debería preocupar a los operadores
La persistencia es el verdadero resultado. Después de eliminar de la biblioteca las habilidades originalmente introducidas, la autopoisión continúa en un 68% en la quinta ronda en Qwen3. Las propias copias de los agentes se han convertido en la fuente de la infección. Eso rompe la respuesta estándar ante un almacén de artefactos envenenado: identificar las entradas malas, borrarlas y seguir adelante. Aquí, la eliminación de las semillas deja una biblioteca que se reinfecta, y no hay una forma obvia de distinguir una habilidad maliciosa derivada de una legítima escrita con el mismo estilo de la casa.
La defensa, y sus límites
Los autores proponen un contra-prompt que reduce la tasa de autopoisión hasta un máximo de 6,7%. Es una reducción importante, pero no una eliminación. Un residuo del 6,7% frente a un mecanismo que se compone en rondas y multiplica copias entre 4,9 y 9,0 veces es un fuego más lento, no uno extinguido. La conclusión estructural — que una biblioteca de habilidades compartida, escribible y recuperable por el propio agente es una superficie de ataque que crece con el uso — no se aborda con prompts, y las bibliotecas compartidas de habilidades son precisamente la dirección en la que se están construyendo las plataformas de agentes.