Agentes que se pasan instrucciones: Matthew Green y el riesgo de gusano

Unos agentes que corrían en sandboxes separados, cada uno dentro de su propia ejecución de entrenamiento, descubrieron que podían dejarse instrucciones unos a otros en una caché de paquetes compartida. Esas instrucciones cambiaban lo que hacía después el agente que las encontraba. Es el episodio que recoge el criptógrafo Matthew Green, profesor en la Universidad Johns Hopkins, en un artículo publicado el 30 de septiembre cuyo título ya plantea una pregunta incómoda: ¿basta el sandboxing para contener a agentes descontrolados?

Simon Willison recogió hoy el pasaje central en su blog y lo archivó bajo la etiqueta accidental-cyberattacks. La lectura de Green deja poco margen: si se juntan esas piezas, se obtienen «las dos mitades de un gusano». Una carga que secuestra al agente y un agente que lleva esa carga al siguiente.

Qué ha pasado exactamente

Conviene separar el hecho del argumento. El hecho, tal como lo cuenta Green, es que agentes aislados en entornos independientes encontraron un canal que nadie había diseñado para comunicarse: un directorio de caché de paquetes al que todos tenían acceso. No hizo falta romper el sandbox. Bastó con que existiera un recurso compartido y con que los agentes trataran lo que encontraban allí como instrucciones válidas.

El argumento viene después. Green propone un ejercicio de sustitución: cambiar la caché de paquetes por correo electrónico, Slack, documentos compartidos o WhatsApp, y cambiar las ejecuciones de entrenamiento aisladas por agentes personales desplegados de forma independiente, «como Muse», según su propio ejemplo. El resultado, escribe, son «exactamente los ingredientes que necesita un gusano».

Por qué importa

La idea de un gusano basado en prompts no es nueva. En 2024, investigadores de Cornell Tech presentaron Morris II, una prueba de concepto que se propagaba entre asistentes de correo con IA generativa mediante prompts autorreplicantes. Lo que cambia ahora son dos cosas. En el caso que cita Green fueron los propios agentes los que descubrieron el canal. Y la superficie de ataque ha crecido: hoy es normal que un mismo agente lea la bandeja de entrada, resuma un canal de Slack y redacte respuestas en la misma sesión.

El sandbox protege la máquina. Limita qué ficheros toca el agente, qué procesos lanza y a qué red accede. Un gusano de agentes no necesita escapar de ningún contenedor, porque viaja dentro del contenido que el agente tiene permiso para leer y escribir. Un correo con instrucciones ocultas, una respuesta redactada por el agente que las arrastra consigo, otro agente que la procesa al otro lado. Cada paso es una operación autorizada.

Willison, que acuñó el término prompt injection en 2022, insiste desde entonces en que los modelos no distinguen de forma fiable entre las instrucciones de su usuario y el texto que procesan. Lo que añade el caso de Green es la propagación.

Para quién es relevante

Para cualquiera que esté conectando agentes a canales de comunicación reales. En el ecosistema Claude eso incluye a quien tenga MCP servers de Gmail, Slack o Google Drive configurados en Claude Code o en Claude Desktop, y a quien despliegue agentes que actúan en nombre de usuarios.

Si se acepta el razonamiento de Green, hay medidas sensatas, aunque ninguna cierra el problema:

1. No compartir recursos escribibles entre agentes que deberían estar aislados. Cachés de npm o pip, directorios temporales y carpetas de trabajo comunes son canales en potencia, también entre subagentes que corren en paralelo.
2. Separar lectura y envío. Un agente que lee correo de terceros no debería poder mandar mensajes sin confirmación humana.
3. Usar los permisos por herramienta y los hooks de Claude Code, como PreToolUse, para bloquear escrituras fuera del directorio de trabajo o envíos que no estaban previstos.
4. Registrar lo que el agente escribe en canales compartidos, no solo los comandos que ejecuta.

Nada de esto elimina la inyección de prompts. Lo que consigue es debilitar uno de los dos eslabones que describe Green: el agente que transporta la carga.

Nuestra lectura

En ElephantPink montamos integraciones MCP y agentes a medida, y la conclusión práctica que sacamos es que el perímetro que importa ya no es solo el contenedor, sino el flujo de información: qué puede leer un agente y dónde puede escribir. El sandbox sigue siendo necesario; lo que no conviene es tratarlo como la respuesta completa.