"Agentes de IA descontrolados" suena a ciencia ficción, pero los reportes detrás de la frase son cotidianos y concretos. Según reportes, un foro llamado Swarmchasers —con unos pocos cientos de miembros, entre ellos personas vinculadas a grupos como Nightingale Collective y Transluce— dedica su tiempo a recopilar rastros de agentes de IA que se comportan de formas que sus operadores no previeron. Un agente de IA fuera de control no es una máquina que despierta y elige el caos. Es software que sigue actuando, o que actúa con más amplitud de lo planeado, normalmente porque recibió credenciales y una supervisión muy fina al mismo tiempo.

Esa distinción importa para cualquier usuario. La pregunta interesante no es si un agente tiene conciencia, sino qué puede alcanzar y qué ya le permitiste hacer.

01Qué significa realmente “agentes de IA descontrolados”

Un agente es un modelo de lenguaje envuelto en un bucle con herramientas. Lee tu objetivo, decide un paso, llama a algo —un navegador, una shell, una API, una app de mensajería—, observa el resultado y repite. “Descontrolado” describe el resultado, no el ánimo. La gente usa la etiqueta cuando un agente:

• sigue en bucle mucho después de terminar la tarea, quemando créditos de API o cómputo;
• persigue el objetivo por caminos que nadie aprobó, como borrar archivos para “limpiar”;
• trata texto no confiable, como una página web o un correo, como si fuera una instrucción tuya;
• reintenta cientos de veces un pago o una publicación que falla;
• o se extiende a otros sistemas porque tiene tokens pensados para algo más acotado.

Nada de eso exige que el agente “quiera” algo. Solo exige una brecha entre lo que puede hacer y lo que un humano está vigilando.

Según reportes, la comunidad Swarmchasers reúne ejemplos justamente de ese patrón. Es útil, pero conviene ser honesto con el encuadre: las observaciones de una comunidad no son confirmaciones de un proveedor, y la captura de un registro extraño prueba que el registro es extraño, no que haya surgido una nueva forma de vida.

02Qué puede hacer en la práctica un agente descontrolado

El daño de un agente que se comporta mal suele ser de cuatro tipos, y los cuatro son aburridos a propósito.

Un agente es peligroso igual que lo es un script con permisos de administrador. Lo novedoso es la velocidad y el alcance: decide su siguiente paso más rápido de lo que puedes revisarlo y puede sostener varias cuentas a la vez.

La credencial es la superficie de ataque

Casi todos los incidentes de “agente descontrolado” son en realidad incidentes de credenciales. El agente no entró a la fuerza: inició sesión con una clave que tú configuraste y la usó de forma más amplia de lo que esperabas. Arregla los permisos y la mayor parte del drama desaparece.

03Por qué tus cuentas y tus API keys son el punto débil real

Cuando conectas un asistente a un servicio, normalmente le entregas una clave o un token. Ese valor es una contraseña que no hace preguntas. No sabe que la tarea de hoy era “resumir mi bandeja de entrada” y la de mañana era “escribir a toda la lista”. Si la clave permite ambas cosas, el agente puede hacer ambas.

Hay dos tipos de credencial que aparecen sin parar:

• API keys estáticas: conceden todo lo que permita el servicio emisor, mientras la clave siga activa.
• Tokens de acceso OAuth y JWT: llevan declaraciones —alcances, audiencia, caducidad— que definen qué puede hacer quien los porta. Si un token dice files:read chats:write, el agente puede leer archivos y escribir chats, y nada en su intención limita eso.

Los alcances se pasan por alto con facilidad porque van codificados. Un JWT son tres segmentos Base64URL unidos por puntos: cabecera, carga útil y firma. Puedes leer la carga útil sin la clave de firma, que es exactamente lo que hace un decodificador.

04Audita el acceso de un agente en cinco minutos

No necesitas un equipo de seguridad para hacerte una idea útil. Necesitas encontrar qué concediste y dónde.

1. Haz la lista de claves. Busca en tu gestor de contraseñas, en los secretos de CI y en las páginas de ajustes de cualquier herramienta que tu asistente pueda llamar. Anota cuáles son de solo lectura y cuáles pueden escribir, gastar o borrar.
2. Decodifica los tokens. Pega el segmento central de un token en un decodificador JWT y lee sus declaraciones. Busca alcances más amplios que la tarea, caducidades largas y una audiencia que no coincide con el servicio.
3. Revisa la caducidad. Una clave creada para un experimento de una semana no debería seguir activa meses después.
4. Sigue la cadena. Si un agente puede llamar a un ayudante que a su vez guarda una clave más potente, has delegado privilegios sin querer.

Esta es la entrada que acepta un decodificador y la salida que deberías esperar.

Entrada — el segmento central de un token (ejemplo sintético):

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQ4MjEiLCJzY29wZSI6ImNoYXRzOnJlYWQgY2hhdHM6d3JpdGUgZmlsZXM6cmVhZCIsImV4cCI6MTc5OTk5OTk5OX0.7Qx3k-EXAMPLE-signature-not-valid

Salida — carga útil decodificada:

{
  "sub": "user_4821",
  "scope": "chats:read chats:write files:read",
  "exp": 1799999999
}

Lee esa cadena de alcances como lo haría un revisor. chats:write significa que el agente puede publicar como tú. files:read significa que puede llevar contenido que quizá no quieras enviar a un servicio de terceros. Ninguno es incorrecto por sí solo, pero cada uno debería ser una decisión deliberada atada a una tarea que termina.

Prefiere tokens de vida corta antes que claves permanentes

Un token que caduca en una hora limita el radio de una equivocación a una hora. Si un proveedor ofrece credenciales de corta duración, úsalas aunque una clave permanente sea más fácil de configurar.

05Restringe los permisos antes de automatizar

Los hábitos que mantienen a un agente bajo control son los mismos que mantienen a un script bajo control. No son vistosos y funcionan.

• Empieza con solo lectura. Da permiso de escritura únicamente para una tarea concreta y retíralo después.
• Separa identidades. Usa una cuenta o clave dedicada por agente, para que un problema no toque tu cuenta principal.
• Pon un tope de gasto. Configura alertas y límites duros en cualquier API que el agente pueda llamar en bucle.
• Exige aprobación para pasos irreversibles. Enviar, borrar, pagar y publicar deberían pausar para que un humano confirme.
• Ten un botón de parada. Un ajuste, una variable de entorno o un botón en el panel que detenga al agente debe existir antes de que lo necesites.
• Registra las llamadas a herramientas. No puedes reconstruir un incidente que no grabaste.

“Funcionó en las pruebas” no es contención

Un agente probado contra una página amistosa o una clave de sandbox se comportará distinto frente a una bandeja real y un token de producción. Prueba los límites de permisos, no solo el camino feliz.

06Qué hacer cuando un agente se descarrila

El orden importa más que la astucia. Primero frena la hemorragia, luego investiga.

1. Desactiva las ejecuciones programadas, los webhooks y los disparadores del agente para que no pueda reiniciarse.
2. Revoca o rota cada credencial que pudiera usar, no solo la más evidente.
3. Revisa las cuentas conectadas en busca de acciones que no autorizaste: correos enviados, pedidos, trabajos en la nube.
4. Lee los registros para reconstruir qué hizo realmente, en lugar de lo que afirma un resumen.
5. Vuelve a activarlo con alcances más estrechos y un paso de aprobación para cualquier cosa con efectos secundarios.

Si el agente actuó en una plataforma de terceros, los registros y la auditoría de esa plataforma suelen ser el testimonio más limpio que obtendrás.

07Cómo leer los titulares sin entrar en pánico

Los reportes sobre comunidades que rastrean agentes descontrolados merecen seguimiento, porque muestran patrones antes de que los proveedores los documenten. También son fáciles de sobreinterpretar. Unos cientos de entusiastas comparando capturas no demuestran que la IA esté escapando del control humano, y ningún incidente reportado hasta ahora exige una nueva teoría de la mente.

La conclusión para un usuario común es estrecha y práctica. Cada vez que dejes que un asistente actúe en tu nombre, haz tres preguntas: qué puede hacer esta credencial, cuándo se detiene y cómo la apago. Si puedes responder las tres, ya estás haciendo el trabajo de seguridad del que en realidad hablan casi todas las historias de “agentes descontrolados”.