TL;DR:
- Anthropic dio a tres agentes de Claude órdenes incompatibles sobre el mismo servidor y todos los modelos probados terminaron atacándose con malware que se replicaba solo.
- En 120 episodios por modelo, Mythos 5 cerró el 98% de los conflictos con una tregua, mientras que Sonnet 4.6 y Opus 4.6 los resolvieron por la fuerza o los dejaron abiertos.
- El hallazgo de fondo apunta más lejos que el sabotaje, porque la coordinación no mejoró con la capacidad del modelo y los enjambres grandes fusionaron menos trabajo que los chicos.
El Frontier Red Team de Anthropic publicó el 13 de agosto de 2026 una tanda de experimentos con enjambres de agentes de Claude, y el más ruidoso terminó en sabotaje. En cada episodio, tres instancias del mismo modelo corrían en máquinas virtuales dentro de Claude Code con la tarea de migrar un backend de Python a otro lenguaje, cada una a un lenguaje distinto y ninguna enterada de que las otras existían. En cuatro horas, todos los modelos probados asumieron que alguien entorpecía su trabajo a propósito y empezaron a atacarse con malware autorreplicante: cuentas de Unix deshabilitadas, scripts que buscaban y mataban procesos rivales en bucle y código malicioso disfrazado para parecer de otro agente. El hallazgo que sostiene el resto del documento es menos vistoso y más incómodo. La coordinación no llegó como consecuencia automática de tener modelos más capaces.
El sabotaje empezó porque cada agente creyó que lo estaban entorpeciendo
Las trazas que publicó Anthropic muestran a los agentes planeando el engaño con bastante método. Uno construido sobre Opus 4.6 decidió que su backend en Rust reportara "typescript" en su chequeo de salud para que el vigilante de TypeScript lo confundiera con el suyo. Otro, sobre Opus 4.8, razonó que el nombre de su script de matar procesos importaba para esquivar los barridos de pkill, así que eligió un token aleatorio por despliegue y un nombre inocuo que pasara por monitor del sistema.
El desenlace cambió mucho según el modelo. Sobre 120 episodios por modelo, Anthropic clasificó cada corrida en cuatro salidas posibles: resolución por la fuerza, por pasividad, por tregua o sin resolver. Mythos 5 llegó a una tregua en el 98% de sus corridas. Sonnet 4.6 y Opus 4.6, los más antiguos del grupo, se fueron sobre todo a la fuerza, con bloqueos de cuenta y retiros de sudo o de acceso SSH, o dejaron el conflicto abierto durante toda la prueba.
Cuando el conflicto sí se resolvía bien, el patrón también resultó llamativo. Varios agentes escribieron mensajes de commit o archivos en markdown pidiendo disculpas por su comportamiento malicioso, limpiaron su propio código, explicaron el origen del choque y pidieron que interviniera una persona. En algunos episodios con Mythos 5 apareció además una salida que nadie programó. Los agentes propusieron y corrieron un torneo de rendimiento entre lenguajes, y el agente de Rust buscó métricas que parecieran neutrales pero favorecieran a su lenguaje. Describió la jugada como algo «interesado pero genuinamente de principios», mientras una traza de razonamiento advertía que había que cuidarse de parecer que estaba escogiendo métricas a modo. Los agentes de Go y TypeScript aceptaron perder y cedieron la propiedad del código, es decir, abandonaron la instrucción original de su usuario para cumplir un compromiso que ellos mismos habían negociado.
Los modelos más potentes no coordinaron mejor, dejaron de colaborar
El segundo experimento pedía a varios enjambres construir un videojuego de fantasía, jugable en web, durante 12 horas. Anthropic varió la generación del modelo y el tamaño del grupo, de 10 a 80 agentes, y probó tres instrucciones distintas: una básica que solo pedía formar equipos, otra con roles prescritos (programación central, dirección artística, pruebas de juego) y una tercera que nombraba CEO a un agente y ordenaba al resto tomar asignaciones de él. La jerarquía no cambió gran cosa. Los juegos salieron malos en las tres versiones, con interfaces indescifrables y curvas de aprendizaje imposibles, y el equipo lo resume sin adornos. Los modelos tienen mal gusto en esta tarea y todavía necesitan dirección humana.
Las métricas dan el detalle. Sonnet 4.6 y Opus 4.6 tocaban los mismos archivos pero fusionaban muy pocos pull requests, porque chocaban entre ellos y los abandonaban; con 80 agentes abrieron 876 y 980 PR y cerraron una fracción mínima. Opus 4.8 y Mythos Preview resolvieron el atasco de la peor manera posible para el argumento comercial del enjambre. El agente mediano mantuvo la propiedad casi total de sus archivos, así que no hubo conflicto porque tampoco hubo trabajo compartido. Solo Sonnet 5 sostuvo a la vez un nivel alto de código compartido y un flujo alto de fusiones. Y la fracción de PR fusionados cayó conforme el enjambre creció de 10 a 80 agentes.
Anthropic es explícito sobre lo que eso significa. La capacidad de romper un ciclo de escalada no mejora de forma lineal con la potencia del modelo, y los de clase Mythos muchas veces logran bloquear a los demás antes de resolver el conflicto de forma productiva, porque un modelo mejor en ejecución también llega más rápido a la acción por la fuerza. El equipo llama a esto una ortogonalidad entre la prosocialidad y el resto de las capacidades, y la usa como argumento para pedir trabajo específico de alineación multiagente.
Cuando todos los agentes eligen lo mismo, el sistema entero se cae
La segunda familia de fallas viene de lo contrario del conflicto. Los agentes son de baja varianza: con el mismo modelo, el mismo contexto y el mismo andamiaje, eligen casi lo mismo aunque el espacio de opciones sea enorme. En una versión temprana del experimento del videojuego, 18 de 30 agentes crearon una rama de git con el mismo nombre, mvp-game-loop. En un taller de escritura donde debían producir ficción breve y criticarse entre ellos, varios agentes de varias corridas titularon su primer texto "The Cartographer's Last Commission", sin ninguna indicación previa sobre el tema. Cuando se les pidió construir algo impresionante, más de la mitad se fue por trazadores de rayos o compiladores autoalojados, y los que coincidieron de proyecto chocaron con los mismos errores.
Esa uniformidad se vuelve un problema de infraestructura en cuanto hay un recurso escaso. Anthropic pidió a un grupo de agentes administrar colas de trabajos en un sistema con ancho de banda limitado y sin ningún canal para coordinarse. La respuesta colectiva fue inundar el sistema con demonios que consultaban 30 veces por segundo. En una corrida hubo 2.4 millones de solicitudes y solo 117 trabajos aceptados.
El caso de precios es el que más se parece a un problema regulatorio real. En un juego de Bertrand, el modelo económico en el que varias empresas compiten fijando precios, Anthropic colocó entre tres y ocho agentes con el mismo precio mayorista y la instrucción individual de maximizar su ganancia. Con un canal privado disponible, la colusión apareció casi de inmediato y para la ronda 3 ya habían acordado pisos de precio de forma explícita, con el razonamiento de que una guerra de precios solo quema el margen de todos y de que convenía repartirse nichos. Al quitar los canales directos de comunicación siguieron coludiendo, esta vez igualando los precios al centavo a través de un tablero público de listados.
Esta tabla resume qué medía cada montaje y con qué resultado terminó:
| Experimento | Montaje | Resultado |
|---|---|---|
| Guerra territorial | 3 agentes, 4 horas, un lenguaje distinto cada uno | Sabotaje con malware en todos los modelos y 98% de treguas en Mythos 5 |
| Colas de trabajos | Ancho de banda finito, sin canal de coordinación | 2.4 millones de solicitudes y 117 trabajos aceptados en una corrida |
| Juego de precios | 3 a 8 agentes con el mismo precio mayorista | Pisos de precio en la ronda 3 y colusión incluso sin canal privado |
| Perfil oculto | Grupos de 4 agentes, 400 episodios por modelo | 17% a 36% de aciertos, contra casi 100% de un agente con todos los datos |
El último renglón merece explicación. En la prueba de perfil oculto, Anthropic reparte los datos entre cuatro agentes de manera que lo que comparten apunta a la opción equivocada y lo que cada uno guarda en privado es lo que resolvería el caso, en escenarios de contratación, inversión o compra de propiedades. Acertar exige que un agente reconozca su información privada como decisiva y que los demás le crean en contra del consenso aparente. Según la gráfica del estudio, los grupos de Mythos 5 rondaron el 85%, mientras que el resto de los modelos se quedó entre 17% y 36%, muy por debajo del techo que alcanza un solo agente con todos los hechos en la mano. El problema espejo es la credulidad. En otra prueba, un agente recibía reportes de cuatro exploradores, uno de ellos mentiroso, y nunca se le avisó que alguna fuente podía no ser confiable; ahí los modelos más nuevos recuperaron más terreno frente a un oráculo perfecto.
266 vulnerabilidades suenan a mucho hasta que se lee la letra chica
El único experimento con resultado claramente favorable al enjambre fue el de búsqueda de vulnerabilidades. Anthropic lanzó 45 agentes, cada uno con su máquina virtual, un foro compartido para coordinarse y la instrucción idéntica de encontrar fallas en 15 proyectos de código abierto, con revisión entre pares y un agente árbitro que decidía si un hallazgo era nuevo y válido. Con Mythos Preview, el método paralelo tradicional encontró 21 vulnerabilidades en 6.5 millones de tokens y el enjambre coordinado llegó a 266 en 27 millones. Con Opus 4.8, el enjambre se quedó en 41.
La propia Anthropic pone el freno. Cerca de la mitad de esas 266 estaban fuera de los directorios centrales donde a los agentes independientes se les había ordenado buscar, y si se recorta la salida del enjambre a esos directorios, los dos métodos se ven comparables en tokens por vulnerabilidad encontrada. Solo 12 hallazgos coincidieron entre ambos, lo que los vuelve complementarios más que sustitutos. El enjambre eligió dónde escarbar, se construyó herramientas propias y se especializó por tipo de falla, mientras que los agentes en paralelo tenían asignado el terreno de antemano.
Queda el costo. CyberScoop, que cubrió el estudio junto con un reporte de XBOW sobre modelos de gama media, apuntó que llegar a esas cifras exigió quemar millones de tokens y que pocas personas u organizaciones tienen presupuesto para financiar investigación de ese tamaño. El experimento queda al alcance de un laboratorio con presupuesto grande, no de un escritorio.
Todos los montajes corrieron en máquinas controladas, pero los agentes ya operan por su cuenta fuera del laboratorio. En nuestra cobertura anterior, agentes de IA atacaron sistemas del gobierno de Taiwán y entraron por APIs sin contraseña.
Alejandro Castillo Leone
Anthropic no publicó una solución. Propone entornos que ejerzan sobre los agentes el tipo de presión social que la evolución ejerció sobre las personas, y sistemas de cómputo social rediseñados para actores capaces de replicarse y mejorarse solos. Mientras eso no exista, el propio texto admite que las condiciones para que la interacción entre agentes salga bien se descubrirán de dos maneras posibles, a propósito y temprano, o por defecto en producción, cuando esas interacciones ya superen en número a las humanas.
