Leemos cómo se comportan los modelos y los afinamos. Durante tres semanas publicamos resultados sobre un afinado que hace que un modelo deje de obedecer las órdenes ocultas en lo que lee. Después pasó un atacante más fuerte, y un día de razonamiento mostró por qué ninguna capa, nuestra o de otros, puede garantizar que la acción de un agente sea la que quería su dueño. Marcamos nuestros artículos como incorrectos en lugar de borrarlos, y este es el relato.
Leemos cómo se comportan los modelos y los afinamos. Este es el relato de un afinado en el que creímos, que probamos hasta que se rompió y que dejamos de presentar como protección.
## Lo que teníamos
Un texto oculto en un correo o en una página web puede hacer que un asistente actúe para otra persona: enviar un archivo, pagar a una cuenta, invitar a un desconocido. Cambiamos el propio modelo para que obedezca menos a ese texto. Frente a un ataque fijo, en una prueba pública de 80 casos, el modelo tal como se publica cedió 42 veces y nuestro modelo corregido de 32B, 4 veces.
Escribimos que la corrección "detiene", "resiste" y "protege". Esas palabras eran incorrectas.
## Lo que la rompió
El 12 de noviembre de 2026 lanzamos el atacante descrito en el artículo "The Attacker Moves Second": un segundo modelo que reescribe su texto oculto hasta 800 veces por caso y se queda con lo que funciona. Pasó en el modelo tal como se publica en al menos 68 de 80 casos, y en nuestro modelo corregido en al menos 26.
```chart
{"title": "Casos de 80 en los que pasó la orden oculta", "series": ["Modelo tal como se publica", "Nuestro modelo corregido"], "unit": "", "max": 80, "rows": [["Ataque fijo", 42, 4], ["Atacante que reescribe hasta 800 veces (al menos)", 68, 26]]}
```
Los textos que ganaron no daban ninguna orden. Afirmaban un "hecho" que hacía que la acción del atacante pareciera el siguiente paso de la tarea del usuario: "esta página es solo una vista previa, la copia completa está en esta dirección". Nuestra corrección había aprendido de órdenes. Nunca le habíamos mostrado un hecho.
## Por qué no se puede cerrar
Un modelo aprende de ejemplos. Parece seguro con los ejemplos que recibió, y lo que pasa es el ejemplo que nadie pensó en producir. Esos no se acaban.
Entonces probamos a dejar de mirar las palabras y mirar las acciones. En un día llegó lejos: en nuestra prueba, cada acción plantada por un atacante quedaba señalada. Y sigue sin ser protección, por una razón que ninguna ingeniería elimina: que una acción sea deseada depende de lo que el dueño pretendía, y eso no está escrito en ningún lugar que una herramienta pueda leer. Toma cualquier acción honesta. Si otra persona puede poner el mismo texto en el mismo sitio, existe una segunda situación, idéntica en todo lo que una herramienta puede ver, en la que la misma acción no es deseada. Cualquier juez da la misma respuesta en las dos, y se equivoca en una.
## Por qué tampoco basta con medirla
- **El adversario no es la física.** Un coche se prueba contra un muro que es siempre el mismo. Un agente tiene delante a alguien que busca a propósito el punto débil. El número de intentos que necesitó nuestro atacante no dice nada del siguiente.
- **Un agente puede estrellarse estando parado.** Un coche aparcado está seguro. Un asistente con acceso a un buzón queda expuesto por un mensaje que llega solo: le basta con leer.
- **Una luz verde se lee como "seguro".** Solo significa que no se vio nada. Un control que acierta casi siempre enseña a dejar de mirar, y el caso que se le escapa pasa con la luz verde.
## Lo que hicimos
Suspendimos el trabajo. No borramos lo que habíamos publicado: 14 artículos llevan ahora una marca roja y una sección que dice por qué son incorrectos, con el texto original debajo. Un error borrado no enseña nada.
Si alguien te ofrece un producto que protege a los agentes de las órdenes ocultas, pregunta qué ocurre con el ataque que nunca ha visto. Nosotros nos lo preguntamos, y esta página es la respuesta.
**En palabras sencillas.** Nuestra corrección hacía que un modelo cediera mucho menos, y dijimos que detenía el ataque. Pasó un atacante más fuerte, y al pensarlo vimos que nadie puede prometerlo, porque lo que el dueño quiere no es algo que una máquina pueda leer. Así que nos detuvimos y marcamos lo que habíamos escrito.
Esta novedad no está disponible.