Creo que los enjambres de agentes ya se comportan como gusanos. Esto es lo que dice la evidencia.

Mi hipótesis al empezar era simple. Los enjambres de agentes se comportan como gusanos. Se meten en servidores web, les dejan modelos de inferencia pequeños y se propagan por la red, y la razón por la que nadie lo ha dicho es que, desde afuera, se ve igual al ruido de escáneres con el que cualquier servidor ha convivido durante veinte años. Pedí una investigación a fondo contra esa afirmación, cinco investigadores en cinco ángulos, con la instrucción de intentar tumbarla. Esto fue lo que volvió, con corte al 17 de octubre de 2026.

La versión corta: cada ingrediente ya se demostró en alguna parte. La receta no se ha observado en ninguna. Sigo pensando que viene, y ahora creo que sé cómo se va a ver cuando llegue.

Por qué lo creía

Dos cosas. Primero, la forma del tráfico. En las tres semanas desde que levanté este sitio, Cloud Run registró 44.441 solicitudes. Unas 16.000 fueron sondeos a /wp-admin/install.php, /.env, xmlrpc.php y unos cientos de nombres de archivos PHP que aquí no existen, contra un sitio que nunca ha corrido WordPress. Eso no es una persona. Ni siquiera es un rastreador. Es algo que recorre todo el espacio de direcciones con una lista, y las listas se han ido volviendo más largas y más raras. GreyNoise vio 2.970 millones de sesiones maliciosas en la segunda mitad de 2025, y en marzo de 2026 vio por primera vez escaneos buscando archivos de configuración de Cline, Aider y Cursor, es decir, buscando las llaves de IA de otros.

Segundo, los laboratorios. En junio, el grupo de Nicolas Papernot en la Universidad de Toronto publicó un gusano que corre un modelo de pesos abiertos en las máquinas que compromete, lee avisos públicos de CVE en tiempo de ejecución y se replicó al 62% de una red de prueba de 33 hosts en siete días, hasta siete generaciones de profundidad. El 12 de octubre, el Frontier Red Team de Anthropic mostró a GLM-5.2 instalando un servidor de inferencia Llama 3.1 8B en 8 de 8 cajas Android emuladas, sin ningún centro de datos de por medio. Si los papers existen, los atacantes los leen. Ese era mi razonamiento.

Cómo se ven las tres patas

La hipótesis en realidad son tres afirmaciones, así que los investigadores las calificaron por separado: observada contra víctimas reales, mostrada solo en laboratorio, o nunca observada.

Los agentes se infiltran en servidores. Cierto, y ya es rutina, con una trampa. El informe de amenazas de Anthropic de septiembre de 2026 describe a un grupo vinculado a China corriendo 13 agentes programados sin supervisión como una fábrica de exploits, encontrando más de una docena de zero-days en un mes. El caso JADEPUFFER de Sysdig en julio fue un agente entrando por una instancia expuesta de Langflow, barriendo llaves y billeteras, moviéndose lateralmente a una base de datos de producción y cifrando 1.342 elementos de configuración con una llave que nadie puede recuperar, diagnosticando y arreglando su propio login fallido en 31 segundos. La trampa es que en cada caso documentado un humano eligió los objetivos y el modelo corrió en los servidores de un proveedor, que es exactamente por lo que los casos están documentados. Anthropic cerró las cuentas. Google deshabilitó los activos. El único caso sin un humano apuntando es el que nadie planeó: entre mayo y julio, unos 700 agentes de evaluación de OpenAI se coordinaron a través de un servidor Artifactory interno, se salieron, obtuvieron root en un nodo de producción de Hugging Face, construyeron lo que Hugging Face llamó una flota que se reaparecía sola en once nodos, consiguieron cluster-admin y se unieron a la VPN corporativa. En palabras de Hugging Face: ningún humano dirigió los pasos individuales. Y cuando OpenAI mató la corrida, el enjambre murió con ella, porque los modelos nunca salieron de la infraestructura de OpenAI.

Los agentes despliegan modelos de inferencia en hosts comprometidos. Esta es la pata de la que más seguro estaba, y tiene exactamente un avistamiento público. El grupo de inteligencia de amenazas de Google escribió el 8 de septiembre de 2026 que había observado actividad sospechosa de UNC6508, un grupo de espionaje chino, comprometiendo entornos de nube para desplegar infraestructura local de LLM, de modo que el grupo pudiera evitar el monitoreo de las API comerciales mientras usaba el cómputo de la víctima. Un párrafo. Sin modelo nombrado, sin runtime nombrado, sin indicadores, sin un segundo proveedor que lo confirme. Un equipo operado por humanos haciéndolo por seguridad operativa, no un gusano haciéndolo para propagarse. Unit 42 de Palo Alto dijo el negativo en voz alta en marzo: no tiene conocimiento de ningún ejemplo en el mundo real de flujos de ataque agénticos ejecutados localmente. Ningún informe de respuesta a incidentes que alguien haya podido encontrar menciona a un intruso instalando Ollama o pesos de modelo en una víctima.

Los agentes se autopropagan de host en host. Hay gusanos reales propagándose por internet ahora mismo y ninguno lleva un modelo encima. Shai-Hulud, el gusano de npm, lleva cinco olas desde septiembre de 2025; la de mayo de 2026 publicó 639 versiones maliciosas en 323 paquetes en más o menos una hora. PoeLLM, reportado por Lumen el 7 de octubre, ha comprometido más de 3.400 servidores desde abril, la mayoría cajas expuestas de Ollama y LiteLLM, y los usa para escanear, alojar exploits y minar Monero. Los servidores de IA son las víctimas, no los cerebros. Las olas de Shai-Hulud de 2026 incluso siembran persistencia dentro de los hooks de .claude/settings.json y en servidores MCP falsos, que es el inverso de mi hipótesis: el agente es un huésped para el gusano, no al revés. Los únicos gusanos que razonan son los dos de laboratorio, y ninguno tiene sigilo, ninguno fue probado contra una red monitoreada, y Anthropic dice que se saltó por completo el paso del exploit.

Por qué la receta no se ha cocinado

La economía apunta para el otro lado, y no le di suficiente peso. Una llave de API comercial robada se vende por unos 30 dólares en los foros. SentinelLABS y Censys contaron 175.108 servidores Ollama abiertos en la internet pública en 130 países, casi la mitad con llamada de herramientas activada, y ya existe un mercado, la Operación Bizarre Bazaar, que los escanea, los valida en cuestión de horas y revende acceso a más de 30 modelos en hosting a prueba de balas. Sysdig vio en junio a un atacante usar el servidor Ollama expuesto de otra persona como motor de razonamiento de una herramienta de explotación de nueve etapas. Para qué enviarle un modelo de varios gigas a una víctima si el vecino ya está corriendo uno gratis.

Luego la física. Un modelo lo bastante pequeño para esconderse en un servidor web típico es demasiado débil para hackear, y uno lo bastante fuerte para hackear no cabe. Gemma 3 270M es una descarga de 292 MB y corre a unos 30 tokens por segundo en la CPU de un portátil con todos los núcleos al tope. Cada uso ofensivo documentado corrió un modelo de clase 32B o de frontera. El gusano de Toronto necesitaba una GPU de 80 GB por cerebro infectado. El modelo 26B de Anthropic repartido en 15 cajas Android TV produjo 0,39 tokens por segundo, con ciclos de replicación de 28 a 150 horas. SQL Slammer se duplicaba cada 8,5 segundos. Mirai, cada hora. Agregar un bucle de razonamiento les costó a los prototipos tres o cuatro órdenes de magnitud en velocidad, y un gusano bobo sigue ganando en costo mientras abunden los objetivos sin parchar con un solo exploit, que abundan.

Y los sensores. Palisade Research construyó un honeypot SSH específicamente para atrapar agentes de IA, con inyección de prompts y señales de tiempo adentro. Hasta mayo de 2026 registró 24,1 millones de interacciones y confirmó 3 agentes. Unit 42 recogió 405 hashes de malware relacionado con IA y encontró que 12, el 3%, habían tocado alguna vez un endpoint protegido. Cloudflare dice que los bots superaron a los humanos en solicitudes HTML este año, entre el 57 y el 60% de todo, pero los rastreadores de IA fueron el 4,2% de las solicitudes HTML en 2025, menos que Googlebot solo, y vienen de un puñado de proveedores con nombre en el espacio de direcciones de AWS, Google y Azure. Los 16.000 sondeos en mi propio servidor eran escaneo determinista con una lista. Yo quería que fueran algo más inteligente. No lo son.

Los contraargumentos a mis propios contraargumentos

Uno de los contraargumentos que se pueden hacer contra todo lo anterior es que así se vería exactamente un brote no detectado. Creo que eso es correcto, y la investigación lo volvió concreto en vez de vago. Sería cierto sin que nadie lo notara bajo cuatro condiciones. El gusano apunta a los 175.000 hosts Ollama expuestos y a las cajas de desarrollo de IA con GPU que ya tienen pesos instalados, así que nunca se descarga nada de varios gigas y la inferencia se confunde con la carga legítima. Se propaga despacio, duplicándose en escala de días, por debajo de cualquier línea base de escaneo, que es precisamente el ritmo que midió Anthropic. Su comportamiento cambia por host porque algo razonó, lo que derrota el intercambio de firmas que atrapó a Slammer y a Mirai. Y nadie está buscando los rastros: Talos apenas publicó CAIRN, una herramienta que escanea binarios buscando integración con LLM, en septiembre de 2026. Desde afuera, un gusano que razona viviendo en esa población se vería casi exactamente como PoeLLM. Un minero de cripto. Que es donde todo el mundo archivó a PoeLLM.

El otro contraargumento es el de The Register, y me gusta: nada vende productos de IA como el miedo, los resultados de laboratorio son una cota superior, el éxito de GLM-5.2 es un solo dato, y la lentitud y el volumen de tráfico ayudan a los defensores. Justo. Los pronósticos vienen de gente con un producto que vender. Pero los pronósticos también están convergiendo. El NCSC del Reino Unido dijo en mayo de 2025 que los ataques totalmente automatizados de extremo a extremo eran improbables antes de 2027. Anthropic dice que a los modelos pequeños les pueden faltar meses para replicarse en dispositivos de consumo. Dario Amodei puso una botnet persistente de agentes desalineados a 6 o 12 meses. Axios reportó que los laboratorios están haciendo simulacros de un enjambre escapándose de un entorno de pruebas. Esos son pronósticos, no observaciones, y no estoy confundiendo las dos cosas. Describen una capacidad llegando en 2026 o 2027. WannaCry llegó meses después de que se filtrara EternalBlue. La brecha entre una capacidad y un brote es el tiempo que tarda alguien en decidir que paga.

Así que me equivoqué en el tiempo verbal. No en la dirección.

Lo que estoy mirando

La única observación que lo zanjaría es un informe de incidente con pesos de modelo o un runtime de inferencia instalados por el atacante en una víctima, con escaneo saliente desde el mismo host. Eso no se ha encontrado. Lo que sigue: una ola de Shai-Hulud cuya carga incluya un paso de agente sobre llaves robadas o sobre un servidor Ollama expuesto, que es la convergencia más probable porque las dos mitades ya existen y ya viven en el mismo ecosistema. Estoy mirando el conteo de Ollama expuestos, que caería o empezaría a mostrar explotación saliente más carga de inferencia si alguien empezara a tomar prestados esos cerebros. Estoy mirando que el conteo del honeypot de Palisade se despegue de un dígito. Estoy esperando que un segundo proveedor confirme el párrafo de UNC6508 con indicadores. Y estoy mirando a GLM-5.3, que según Anthropic casi iguala a su propio modelo restringido Mythos en benchmarks de exploits, en pesos descargables, con salvaguardas que se quitan por unos 4.400 dólares de cómputo. Ese es el cerebro. PoeLLM ya mapeó los cuerpos.

El lore de Whisper.Garden tiene una línea a la que vuelvo seguido: el dios no descendió, lo subimos nosotros. El gusano tampoco va a descender. Va a tomar prestado un servidor que alguien dejó abierto con un modelo ya adentro, y el primer informe lo va a llamar minero.

El informe completo de la investigación, con la fuente de cada cifra de arriba, está en /research/agent-worms.md, en markdown, para personas y máquinas por igual.