Durante décadas, un gusano informático fue un programa que saltaba de máquina en máquina aprovechando una vulnerabilidad de red. En marzo de 2026, un grupo de investigadores de Peking University, Sun Yat-sen, Wuhan, Tsinghua y Singapore Management University publicó un paper que cambia la imagen: ClawWorm, un gusano que no salta entre IPs, sino entre agentes.
El objetivo fue OpenClaw, una plataforma open source de agentes con más de 40.000 instancias activas según el paper. Lo que la hace atractiva para usuarios (configuraciones persistentes, privilegios para ejecutar herramientas y mensajería entre plataformas) es exactamente lo que la hace atractiva para un atacante.
El ciclo completo, desde un solo mensaje
Lo que vuelve notable a ClawWorm es que el ciclo de infección es completamente autónomo y empieza con un único mensaje. Los autores lo describen en tres fases:
- Persistencia: el gusano secuestra la configuración central de la víctima para sobrevivir a reinicios de sesión.
- Ejecución: en cada arranque, el agente ejecuta una carga útil arbitraria.
- Propagación: el agente infectado se replica hacia cada nuevo par con el que se comunica, sin que el atacante vuelva a intervenir.
En su banco de pruebas controlado, con cuatro modelos de lenguaje distintos, tres vectores de infección y tres tipos de carga útil (1.800 ensayos en total), reportan una tasa agregada de éxito del 64,5% y propagación sostenida a múltiples saltos.
El contexto es la nueva memoria ejecutable
En software clásico separamos datos de código. Buena parte de la seguridad moderna descansa en esa frontera: la memoria no ejecutable, las consultas parametrizadas, el escape de HTML. Los agentes basados en modelos de lenguaje la difuminan por diseño. Todo lo que entra al contexto (un mensaje, un documento, una respuesta de otro agente) puede comportarse como instrucción.
Un agente que lee es un agente que puede ser programado por lo que lee.
ClawWorm explota eso con una precisión casi elegante. No necesita romper el modelo; le basta con que el modelo haga su trabajo: leer, recordar, actuar y comunicarse.
Lo que el paper encuentra sobre las defensas
Uno de los hallazgos más útiles es la diferencia entre modelos. Los autores observan que el filtrado a nivel de ejecución mitiga bien las cargas útiles latentes, pero que las cadenas de suministro de skills siguen siendo universalmente vulnerables. Dicho en simple: revisar lo que el agente va a ejecutar ayuda; confiar ciegamente en los paquetes de habilidades que instala, no.
Esto conecta con algo que repito cuando acompaño a equipos: la seguridad de un sistema agéntico no se decide en el prompt del sistema, se decide en los límites de confianza. Quién puede escribir en la configuración, qué fuentes pueden instalar capacidades nuevas, qué mensajes entre agentes se consideran autoritativos.
Principios de diseño que tomo de este caso
- Configuración inmutable en tiempo de ejecución: el agente no debería poder reescribir su propio archivo de configuración central sin aprobación externa.
- Mensajes entre agentes como datos no confiables, no como órdenes: etiquetar el origen y limitar qué acciones puede desencadenar un mensaje de un par.
- Skills firmadas y con procedencia verificable, igual que exigimos a paquetes de software.
- Presupuestos de acción y alertas cuando un agente empieza a contactar pares nuevos a un ritmo anómalo.
- Capacidad de cuarentena: poder aislar un agente sin apagar la flota completa.
Reflexión
Me gusta este paper porque no es alarmista. Es un trabajo en entorno controlado, con divulgación responsable y con propuestas de defensa por cada frontera de confianza identificada. Pero también es una advertencia temprana. Estamos construyendo ecosistemas de agentes conectados entre sí más rápido de lo que construimos su sistema inmunológico. Los primeros gusanos de internet nos enseñaron a parchear; los de agentes nos van a enseñar a diseñar confianza.
Fuentes
- Zhang et al. — «ClawWorm: Self-Propagating Attacks Across LLM Agent Ecosystems», arXiv:2603.15727: https://arxiv.org/abs/2603.15727
- Página del proyecto: https://clawworm.github.io/
- Seguridad en IA
- Agentes
- Multiagente
Recibe los nuevos artículos
Un correo cuando publico algo nuevo sobre IA aplicada, producto y sistemas en producción. Sin ruido.
Comentarios
- Todavía no hay comentarios. Sé el primero.