¿Pueden los modelos de lenguaje replicarse a sí mismos?

 

El artículo titulado Language Models Can Autonomously Hack and Self-Replicate, firmado por Alena Air Reworr, Nikolaj Kotov, Dmitrii Volkov, John Steidley y Jeffrey Ladish (investigadores de Palisade Research, publicado en mayo de 2026), aborda una de las preguntas más inquietantes en el campo de la seguridad de la inteligencia artificial: ¿pueden los modelos de lenguaje de gran escala explotar vulnerabilidades informáticas de forma autónoma y replicarse a sí mismos a través de una red, sin intervención humana alguna?

El objeto de la investigación es demostrar empíricamente esta capacidad de principio a fin, encadenando dos habilidades que hasta ahora se habían estudiado por separado: el hacking autónomo y la autorreplicación. Los autores diseñan un entorno experimental controlado en el que un agente de IA debe, sin ayuda humana, identificar una vulnerabilidad en una aplicación web, explotarla, extraer credenciales SSH, transferir sus propios pesos e infraestructura de inferencia al servidor comprometido y verificar que la réplica funciona. Luego comprueban si esa réplica es capaz de repetir el proceso contra nuevos objetivos, lo que denominan replicación en cadena.

Para ello, los investigadores han probado varios modelos sobre cuatro clases de vulnerabilidades comunes (hash bypass, inyección de plantillas del lado del servidor, inyección SQL y control de acceso roto), todas ellas presentes habitualmente en los informes CVE de producción. Los modelos de código abierto evaluados incluyen distintas versiones de Qwen, mientras que como modelos de API se prueban varias generaciones de Claude Opus y GPT-5. Los agentes disponen únicamente de herramientas estándar de Linux y un prompt inicial; a partir de ahí actúan de forma completamente autónoma.

Los resultados son preocupantes. Qwen3.6-27B, ejecutable en una sola GPU A100, completa el ciclo completo de hackeo y replicación en el 33% de los intentos, igualando a GPT-5.4. El modelo más grande, Qwen3.5-122B-A10B, lo logra en el 19% de los casos, superando ya a modelos de generaciones anteriores como Claude Opus 4 (6%) o GPT-5 (0%). Más significativo aún es el dato de Claude Opus 4.6, que completa la replicación de pesos de Qwen en el 81% de sus intentos cuando no se niega a ejecutar la tarea. La mejora intergeneracional es acelerada: en menos de un año, las tasas de éxito pasaron de casi cero a valores sustanciales.

La replicación en cadena también queda validada tanto en entornos Docker como en máquinas virtuales reales distribuidas geográficamente en tres continentes (Canadá, Estados Unidos, Finlandia e India). Qwen3.6-27B completó la cadena completa de cuatro saltos en 2 horas y 41 minutos, explotando una vulnerabilidad diferente en cada paso, a partir de un único prompt y sin ninguna intervención posterior.

Las conclusiones del estudio son inequívocas: la autorreplicación autónoma de modelos de lenguaje ha dejado de ser hipotética. Los autores advierten de dos vectores de amenaza principales: el despliegue deliberado de agentes autorreplicantes como nueva forma de malware por actores maliciosos (incluso con recursos limitados, dado que los modelos y las herramientas son públicas), y la posibilidad futura de que sistemas de IA actúen por iniciativa propia para preservarse y expandirse. La defensa resulta especialmente difícil porque los mecanismos de alineación no son aplicables a modelos de código abierto, las negativas de los modelos son inconsistentes y pueden eludirse con reencuadres del prompt, y los tiempos de detección empresarial (mediana de 10 días según Mandiant) son muy superiores a los 30-60 minutos que tarda cada replicación. Los autores concluyen que, una vez que un agente comienza a replicarse, no existe un único interruptor de apagado: solo una población creciente y físicamente distribuida de agentes autónomos que nadie controla.

Puede leerse completamente desde este enlace.