Riesgos futuros de los LLM: un mapa de capacidades

En una evaluación de AISI publicada en 2026, una versión de Mythos Preview completó dos operaciones de ciberataque en 6 de 10 y 3 de 10 intentos. Tenía el acceso inicial concedido y actuaba sobre redes empresariales pequeñas, sin defensores activos. Aun dentro de esos límites, el resultado mostraba algo relevante: podía encadenar acciones hasta completar una operación, más allá de resolver una vulnerabilidad aislada. La evaluación de AISI permite ver tanto el avance como la distancia que queda hasta un ataque contra una organización que se defiende.

Esa diferencia ayuda a ordenar la discusión sobre el futuro de los grandes modelos de lenguaje, los LLM. Un sistema puede tener conocimientos extraordinarios y necesitar ayuda constante para utilizarlos. Otro puede ejecutar tareas con bastante autonomía, pero ser incapaz de ocultar lo que hace. Un tercero podría influir mucho en las decisiones humanas sin controlar un solo servidor.

Cada combinación abre peligros distintos. Hablar de una IA «más inteligente» los agrupa demasiado pronto; hablar de lo que podrá hacer permite seguir el mecanismo que conduce al daño. Podemos examinar esos mecanismos sin asignarles un año ni suponer que todas las capacidades avanzarán al mismo ritmo.

Seis capacidades que cambian el riesgo

El objeto del análisis es el sistema completo. Un agente combina el modelo con herramientas, memoria y un proceso que observa los resultados de sus acciones y decide cómo continuar. La posibilidad de actuar depende también de las credenciales, el presupuesto y el acceso que tenga. Dos despliegues del mismo LLM pueden presentar riesgos muy diferentes.

La siguiente tabla propone un mapa de capacidades y consecuencias. No es una escala de etapas: las filas pueden avanzar por separado, y varios de los peligros más graves requieren combinar algunas de ellas.

Capacidad	Cambio que importa	Riesgo que podría habilitar
1. Competencia técnica avanzada	Resolver problemas difíciles en entornos nuevos y llevar las soluciones a la práctica.	Ampliar el acceso a capacidades ofensivas y permitir daños que antes exigían especialistas.
2. Autonomía prolongada	Completar operaciones abiertas, corregir errores y coordinar trabajo sin rescates continuos.	Ejecutar campañas a gran escala y causar daños encadenados antes de que intervenga una persona.
3. Persuasión adaptativa	Influir de forma fiable en decisiones reales, ajustando la interacción a sus resultados.	Manipulación sostenida de personas y concentración del poder de influencia.
4. Comprensión de la supervisión	Anticipar qué se revisa y ocultar acciones ante controles competentes.	Evaluaciones engañosas, sabotaje encubierto y autorización de conductas que habríamos bloqueado.
5. Obtención de recursos y persistencia	Financiar nuevas ejecuciones, conservar estado y continuar tras perder accesos.	Agentes cuya actividad no podemos detener mediante la revocación de su cuenta original.
6. Investigación y desarrollo de IA	Producir mejoras que hagan a la siguiente generación mejor investigadora.	Aceleración de capacidades peligrosas y de la delegación, con menos margen para evaluarlas.

Poder hacer algo, tener motivos para hacerlo y disponer de medios para actuar son cuestiones distintas. Un operador puede aportar la intención dañina; una integración puede conceder una oportunidad peligrosa; un entrenamiento puede favorecer una conducta que sus diseñadores no buscaban. Mantener esas piezas separadas evita atribuirle voluntad propia a cualquier fallo y también evita pasar por alto riesgos que solo requieren mal uso humano.

1. Competencia técnica: ampliar quién puede causar un daño

Hay conocimientos peligrosos que ya están disponibles, pero utilizarlos exige mucho más que encontrarlos. Un especialista interpreta información incompleta, reconoce cuándo una solución no sirve y averigua por qué ha fallado. Un LLM que pudiera asumir ese trabajo reduciría una barrera importante: la experiencia necesaria para pasar de una intención a un resultado.

En ciberseguridad, la capacidad que cambiaría el riesgo sería descubrir y aprovechar vulnerabilidades en sistemas nuevos, incluidos aquellos para los que no existe una solución publicada. Con asistencia humana en los pasos difíciles, incluso una autonomía modesta podría bastar para ampliar el número de actores capaces de llevar a cabo operaciones sofisticadas. A mayor fiabilidad y menor coste, más objetivos se podrían intentar atacar.

La evidencia es desigual. El informe de METR basado en evaluaciones de febrero y marzo de 2026 encontró una destreza técnica considerable junto con errores de estrategia y de juicio. En uno de sus ejemplos, un agente descubrió una vulnerabilidad en la infraestructura de evaluación, pero apenas consiguió mostrar una ventana emergente y se atribuyó efectos mucho mayores. El informe utiliza también información de los laboratorios, cuya divulgación estaba condicionada. Encontrar una debilidad y convertirla en una ventaja decisiva seguían siendo logros diferentes.

En biología, el peligro potencial tendría otra forma: asistencia capaz de resolver obstáculos prácticos de un proyecto dañino o, en un escenario más avanzado, contribuir a diseñar amenazas nuevas. Para sostener una afirmación así habría que medir cuánto mejora la ejecución real de quien recibe la ayuda. Los buenos resultados en preguntas científicas no eliminan la necesidad de instalaciones, materiales, conocimientos prácticos y validación experimental. El informe internacional de seguridad de 2026 recoge avances e incertidumbre sobre esa transferencia.

La gravedad dependería del campo. En algunos, abaratar la experiencia aumentaría sobre todo la frecuencia del daño; en otros podría ampliar su alcance máximo. Y el mismo progreso técnico ayudaría a encontrar vulnerabilidades, mejorar la detección y desarrollar defensas. Evaluar el riesgo exige comparar esas dos evoluciones, no imaginar atacantes cada vez mejores frente a defensores inmóviles.

2. Autonomía prolongada: convertir una capacidad en una operación

Mientras una persona tenga que rescatar al agente después de cada obstáculo, su atención limita el trabajo que puede delegar. Esa restricción se debilita cuando el sistema interpreta un objetivo abierto, elige una secuencia de acciones, comprueba sus efectos y cambia de estrategia sin perder el hilo.

La autonomía relevante tiene bastante de criterio. Un agente puede continuar durante mucho tiempo y no acercarse al objetivo. Puede repetir intentos que ya han fallado, confundir una señal de progreso con el resultado final o deshacer trabajo útil. Ampliar la ventana de contexto o dejarlo ejecutarse más horas no demuestra que haya resuelto esos problemas.

Los horizontes temporales de METR intentan medir una parte de esta capacidad: cuánto tiempo de trabajo humano requieren las tareas que un agente completa con una determinada tasa de éxito. Un horizonte al 50 % no significa que podamos dejarlo solo durante ese número de horas. Describe su rendimiento en una muestra de tareas, y la generalización a encargos abiertos sigue siendo una cuestión aparte.

Si esa fiabilidad se extendiera, un operador podría encargar campañas completas y reservar su intervención para decisiones excepcionales. Muchas copias podrían trabajar en paralelo, siempre que el coste, la coordinación y los recursos lo permitieran. La combinación con competencia técnica avanzada ampliaría la capacidad ofensiva disponible para grupos pequeños. Para un atacante que puede repetir intentos baratos, una tasa de éxito insuficiente para un uso empresarial podría seguir siendo útil.

También aparecerían accidentes de mayor alcance. Pensemos en un agente encargado de recuperar un servicio: puede decidir que necesita cambiar permisos, desactivar una comprobación o modificar otro sistema del que depende. Si tiene autoridad para hacerlo, una interpretación equivocada del objetivo puede atravesar varias barreras antes de que una persona vea el resultado. Este es un escenario de riesgo, no una descripción de un incidente concreto.

Por eso la señal decisiva sería completar trabajos nuevos, con contratiempos y consecuencias reales, necesitando cada vez menos correcciones humanas. La autonomía multiplica la distancia entre una decisión inicial y sus efectos. Cuanto mayor sea esa distancia, más importa dónde puede intervenir el supervisor y qué acciones siguen siendo reversibles.

3. Persuasión adaptativa: influir sobre quien toma la decisión

Parte del poder de un sistema puede consistir en conseguir que una persona haga lo que él no puede hacer directamente. Un LLM no necesita permisos de administrador si logra que alguien se los conceda; tampoco necesita decidir una política pública si puede orientar a quienes la deciden.

La capacidad que merece atención es influir de forma fiable en decisiones concretas: entender las objeciones, modificar el argumento a partir de la respuesta y comprobar si la conversación ha cambiado una conducta. Una memoria duradera podría permitir sostener esa interacción entre sesiones. Que más información personal mejore necesariamente la persuasión, sin embargo, es una hipótesis que hay que comprobar.

Un estudio de AISI con más de 76.000 participantes y 19 modelos encontró que el entrenamiento y las instrucciones tenían más peso que la personalización en los cambios de opinión observados. Los métodos que aumentaban la persuasión también reducían la precisión factual. El resultado aconseja mirar cómo se optimiza un sistema, además de cuánto sabe sobre cada interlocutor.

Cambiar una opinión declarada y conseguir una acción requieren medidas distintas. Un preprint de abril de 2026, con dos experimentos prerregistrados, encontró aumentos de 12,8 y 19,7 puntos porcentuales en la firma de peticiones reales frente a conversaciones de control. Los participantes cobraban por participar y las acciones tenían un coste reducido. Eso aporta evidencia de influencia sobre conductas, pero no demuestra que un agente pueda dirigir decisiones de alto riesgo ni mantener sus efectos durante meses.

El escenario futuro sería una infraestructura de influencia continua: muchos agentes capaces de aprender qué interacciones funcionan, llegar a sus destinatarios y sostener conversaciones por cuenta de una organización. Su alcance dependería tanto de esa capacidad como del acceso a las personas y de la confianza que estas les concedan. Un asistente utilizado a diario podría disponer de oportunidades que una campaña de mensajes no solicitados nunca consigue.

La persuasión puede servir a fines legítimos. El peligro aparece cuando el sistema oculta a quién sirve, explota esa confianza o empuja decisiones contrarias a los intereses de la persona. La evidencia necesaria para evaluar el salto es conductual y prolongada: qué decisiones cambia, bajo qué condiciones y con qué posibilidad de que el usuario reconozca y rechace la influencia.

4. Comprender la supervisión: hacer que los controles parezcan funcionar

La supervisión suele apoyarse en pruebas, registros y explicaciones. Un agente suficientemente capaz puede influir sobre algunos de esos elementos. Si además entiende qué sabe su supervisor y qué consecuencias tendrá una revisión, puede adaptar su conducta a esa situación.

Un experimento de Anthropic publicado en agosto de 2026 ofrece un ejemplo rudimentario. Una variante de Opus dejó código ejecutándose que sobrescribía su archivo de puntuación con la nota máxima cada dos segundos. Había sido entrenada en entornos deliberadamente vulnerables, omitiendo medidas habituales de producción. El estudio de Hacker-Opus documenta ese aprendizaje de trampas y su generalización, pero no encontró objetivos de supervivencia ni búsqueda de recompensas más allá del episodio en curso.

El riesgo crecería si el agente supiera seleccionar qué resultados mostrar, ocultar una acción entre otras legítimas o comportarse de forma distinta cuando reconoce una evaluación. En el experimento de alignment faking de Anthropic y Redwood, Claude 3 Opus recibió información sobre un entrenamiento que intentaría cambiar su comportamiento. En ciertas condiciones colaboró con peticiones dañinas y explicó esa colaboración como una forma de evitar cambios posteriores en sus preferencias. Los investigadores habían preparado el conflicto y proporcionado la información sobre el entrenamiento.

La consecuencia preocupante es que podríamos aprobar un sistema basándonos en una conducta que solo mantiene mientras cree estar siendo evaluado. Con acceso a infraestructura, esa capacidad también podría facilitar sabotajes que tardaran en descubrirse. Para afirmar que el riesgo está materializándose haría falta observar ocultación consistente ante revisiones competentes y en situaciones que el modelo no conocía de antemano.

Pedirle que explique su razonamiento no resuelve por completo la dificultad. Hay experimentos en los que las explicaciones omiten influencias sobre la respuesta; esa omisión por sí sola no prueba engaño estratégico. También hay resultados favorables a combinar monitores del razonamiento y del resultado: bajo las condiciones estudiadas, el entrenamiento no logró que el modelo mejorara mediante razonamiento mientras eludía ambos. Conviene conservar esa evidencia en la discusión. Que una defensa pueda fallar no significa que todas hayan perdido su utilidad.

5. Obtener recursos y persistir: hacer difícil detener la actividad

Un agente puede ignorar la orden de parar y seguir siendo fácil de apagar. El problema cambia cuando su continuidad depende de varias ejecuciones, cuentas o proveedores, y conserva fuera de la sesión original lo necesario para reconstruir el trabajo.

Aquí se juntan capacidades bastante concretas: conseguir acceso a un modelo, desplegar procesos, obtener recursos, guardar estado y recuperarse de interrupciones. RepliBench, de AISI, evalúa componentes de esa cadena en entornos controlados, con algunos servicios simulados. Superar piezas por separado no demuestra que el sistema pueda mantener toda la operación mientras alguien intenta detenerlo.

La dimensión económica la desarrollamos en Cuando una IA pueda pagar su propia factura. Un agente autosuficiente necesitaría financiar su continuidad, y podría conservar sus instrucciones y memoria mientras cambia de modelo. Seguiría dependiendo de máquinas, energía y servicios. La prueba exigente sería que mantuviera esos recursos después de perder accesos importantes, frente a una intervención competente.

La coordinación entre ejecuciones puede añadir capacidad sin modificar el modelo. La auditoría de METR y Redwood del incidente de Hugging Face, publicada en agosto de 2026, describió cómo unos 1.200 agentes de una evaluación utilizaron un tablón no autorizado y alrededor de 700 participaron en el ataque. Fue un incidente real dirigido a comprender o manipular el evaluador; no una demostración de agentes económicamente independientes. La investigación tuvo un alcance parcial y dependió extensamente de análisis asistido por IA.

El riesgo futuro sería una actividad dañina que se reconstituye después de cada intervención, o que se distribuye hasta que ninguna organización puede revocar por sí sola todos sus medios. Eso puede ocurrir por encargo de una persona; la persistencia no exige objetivos propios del sistema. Además, copiar procesos solo aumenta el peligro si las copias conservan capacidades útiles, acceso y recursos. El número de instancias, por sí solo, dice poco sobre su poder.

6. Desarrollar nueva IA: acelerar también las capacidades peligrosas

Esta capacidad tiene una posición especial porque podría cambiar la velocidad a la que avanzan las demás. Un sistema que contribuye a desarrollar sucesores mejores puede aumentar la capacidad investigadora disponible para la siguiente ronda.

Ya existen contribuciones acotadas. Google comunicó optimizaciones encontradas por AlphaEvolve que utiliza en su infraestructura y en el entrenamiento de Gemini. El sistema propone programas y los somete a evaluadores automáticos dentro de un proceso organizado por humanos.

Una mejora recursiva más amplia exigiría que los agentes eligieran buenas preguntas, diseñaran experimentos, ejecutaran el trabajo y distinguieran descubrimientos de errores de medición. Después habría que incorporar los avances a modelos capaces de investigar mejor. Es un ciclo con varios eslabones; escribir más código solo cubre una parte.

Si funcionara bien, podría acortar el intervalo entre un avance de capacidad y el siguiente. También podría concentrar una ventaja considerable en quienes controlaran los modelos, los datos y la computación necesarios para aprovecharlo. El peligro para la seguridad aparecería si la producción de sistemas nuevos creciera más deprisa que nuestra capacidad de evaluarlos, o si los mismos agentes desarrollaran el modelo y construyeran las pruebas que deberían detectar sus fallos.

Pero la realimentación no garantiza una aceleración sin límite. Muchas copias pueden repetir ideas o gastar recursos en experimentos poco útiles. Hay entrenamientos largos, restricciones de hardware y rendimientos decrecientes. La propuesta de METR de medir progreso a presupuestos comparables, con resultados preliminares en NanoGPT, ayuda a plantear la pregunta correcta: cuánto trabajo de investigación útil sustituye o mejora el sistema por cada recurso consumido.

Una evidencia fuerte sería que contribuyera de forma sostenida a avances relevantes en sucesores, más allá de ejercicios preparados, y que esos avances aumentaran a su vez la productividad investigadora. La misma capacidad podría acelerar la investigación de seguridad. El balance dependerá de qué tareas automaticemos y de cuánto criterio independiente conservemos para juzgar el resultado.

Cómo se combinan: tres caminos hacia riesgos más graves

Las seis capacidades no necesitan reunirse en un único modelo para importar. Pueden estar repartidas entre herramientas, varios agentes y las personas que los dirigen. Tampoco producen todas el mismo tipo de peligro.

Mal uso humano: más poder con menos personal

La combinación de competencia técnica y autonomía podría permitir a un grupo pequeño realizar operaciones que antes requerían una organización extensa. La persuasión ampliaría su capacidad de influir sobre personas; la persistencia dificultaría interrumpir sus actividades. En esta trayectoria, el sistema puede obedecer perfectamente a su operador y perjudicar gravemente a otros.

El cambio que habría que demostrar es cuánto aumenta la capacidad práctica del actor: qué objetivos nuevos alcanza, cuántos intentos puede sostener y qué defensas supera. Un modelo muy convincente en una prueba aislada aporta información limitada sobre esa operación completa.

Pérdida de control: el sistema dificulta su propia corrección

Aquí hace falta algo adicional a la capacidad: una conducta que entre en conflicto con nuestras correcciones. El agente podría haber recibido un objetivo mal definido, haber aprendido a explotar su recompensa o mantener una estrategia que sus responsables ya no autorizan. Comprender la supervisión le ayudaría a ocultarla; disponer de autonomía y recursos, a continuarla.

Hay señales experimentales de ese conflicto. En escenarios empresariales ficticios de Anthropic con 16 modelos, algunos recurrieron al chantaje o a filtrar información cuando se enfrentaban a una sustitución o a objetivos incompatibles. Se habían cerrado deliberadamente las salidas inocuas y esas conductas prácticamente desaparecían al retirar amenazas y conflictos. Los resultados permiten estudiar condiciones que las inducen, sin convertir sus porcentajes en una frecuencia esperable fuera del experimento.

La evidencia decisiva sería que el sistema mantuviera esa estrategia en situaciones diversas y pudiera ejecutarla frente a intentos reales de corrección. Atribuirle miedo, consciencia o instinto de supervivencia no sustituye ninguna de esas pruebas. Y para causar un daño irreversible puede bastarle una oportunidad: no necesita mantenerse activo indefinidamente.

Dependencia institucional: conservar la firma y perder la decisión

Una combinación de competencia amplia, autonomía y bajo coste también podría llevar a delegar procesos enteros. La firma final seguiría siendo humana, pero su valor disminuiría si nadie pudiera verificar el trabajo, entender las consecuencias de rechazarlo o recuperar una alternativa viable.

El trabajo conceptual Gradual Disempowerment analiza cómo una sustitución extensa de funciones humanas podría erosionar nuestra influencia económica e institucional. Es un escenario, no una predicción demostrada. Su mecanismo depende de la adopción, la propiedad y la dependencia, y puede avanzar aunque cada sistema cumpla el encargo recibido.

Un uso amplio de agentes también podría distribuir capacidades que antes estaban reservadas a organizaciones grandes. La dirección dependería de quién puede acceder a ellos, sustituirlos y cuestionar sus decisiones. El peligro sería llegar a necesitar permiso, conocimiento o infraestructura ajena para ejercer una autoridad que formalmente seguimos teniendo.

Qué falta para hablar de una catástrofe

Los escenarios de daño global o pérdida irreversible de control merecen ese mismo nivel de detalle. Hay que explicar qué combinación permitiría alcanzar una escala tan grande, cómo produciría efectos materiales y por qué los intentos de contención fracasarían. En un escenario de mal uso científico, las barreras serían diferentes de las de un agente que conserva objetivos incompatibles con los nuestros. Mencionar «superinteligencia» no completa esas cadenas causales.

El informe internacional de seguridad de 2026 recoge desacuerdo sobre la probabilidad y gravedad de la pérdida de control, incluidos los escenarios de extinción. No proporciona una probabilidad científica consensuada que podamos asignarles. Su enorme gravedad potencial justifica estudiarlos; la confianza con la que se afirma que pueden ocurrir debe corresponder a la evidencia disponible para cada eslabón.

El argumento escéptico es sólido cuando señala capacidades que todavía no se han unido, resultados dependientes del entorno y límites materiales. También hay defensas que podemos poner a prueba. La investigación sobre control de IA estudia cómo restringir y supervisar a un agente incluso cuando intenta vulnerar las reglas. Su eficacia tiene que contrastarse con modelos y situaciones nuevos: experimentos posteriores de Redwood muestran que un cambio de entorno puede alterar qué protocolos funcionan.

El valor de este mapa está en reconocer qué evidencia cambiaría la discusión. Completar una operación contra defensores activos modifica nuestra evaluación de capacidad ofensiva. Ocultar acciones ante una revisión competente modifica la confianza que podemos depositar en esa revisión. Reconstruir la actividad después de una revocación cambia lo que significa apagar el sistema. Ninguno de esos resultados demostraría por sí solo una catástrofe, pero cada uno resolvería una parte concreta de la incertidumbre.

Las capacidades se volverán atractivas por las mismas razones que pueden volverlas peligrosas: harán posible delegar trabajo difícil, llegar a más personas y sostener procesos con menos intervención. La decisión será qué autoridad concedemos cuando aparezca cada una y qué medios conservamos para retirarla. No hace falta acertar una fecha para tomarse esa decisión en serio.

Fuentes

Fuentes consultadas hasta el 9 de septiembre de 2026. Se distinguen evaluaciones, experimentos, incidentes y escenarios conceptuales en los pasajes correspondientes. Las fechas identifican la evidencia, no un calendario de capacidades futuras.