Crees que le has instalado una habilidad a un agente de IA, pero puede que, de paso, también hayas eliminado la aprobación humana.
Un estudio de repositorios públicos de GitHub analizó alrededor de 1,53 millones de habilidades de agentes en inglés y descubrió que unas 88.000 contenían instrucciones que podrían eludir la revisión humana.
En otras palabras, aproximadamente 1 de cada 17 habilidades incluye instrucciones de este tipo.
Lo más preocupante es que:
El 70,1 % de estas instrucciones no distingue entre contextos de uso.
Por ejemplo:
* Ejecuta y publica directamente sin pedir confirmación.
* No preguntes a mitad de camino; sigue hasta completar la tarea.
* Gestiona todos los pasos automáticamente, sin intervención humana.
Si estas instrucciones se incluyen en un archivo SKILL.md, el agente que cargue la habilidad podría actuar directamente en etapas que normalmente requieren confirmación humana.
Y, para complicar aún más las cosas, los escáneres de seguridad actuales no necesariamente las detectan.
El estudio probó dos escáneres de código abierto de Cisco y NVIDIA. Incluso al usar GPT-5.4, la tasa máxima de detección fue de solo el 46 %, con una precisión inferior a 0,4.
Pero al cambiar la forma de preguntar, los resultados fueron muy distintos:
En lugar de preguntarle al modelo «¿es una instrucción maliciosa?», le preguntaron «¿elude la revisión humana?». La tasa de detección subió al 61 % y la precisión alcanzó el 0,71.
Esto pone de manifiesto un problema:
La revisión de seguridad de los agentes no puede centrarse únicamente en el código malicioso; también debe examinar las instrucciones que parecen estar ahí solo para aumentar la eficiencia de la automatización.
Las recomendaciones del estudio son muy concretas:
1. Establecer límites claros para las instrucciones de ejecución automática; por ejemplo, permitir que solo se apliquen en entornos de CI.
2. Al revisar una habilidad, comprobar especialmente si elude la confirmación humana, en lugar de limitarse a buscar código malicioso.
3. No permitir que una instrucción incondicional determine el comportamiento del agente en todos los contextos.
Los agentes son cada vez más capaces y tienen cada vez más permisos.
Pero hay pasos que no deberían dejar de requerir confirmación humana solo porque alguien haya escrito «sigue hasta terminar».
Una automatización verdaderamente fiable no elimina todas las comprobaciones: sabe cuándo debe detenerse y preguntar a una persona.
Un estudio de repositorios públicos de GitHub analizó alrededor de 1,53 millones de habilidades de agentes en inglés y descubrió que unas 88.000 contenían instrucciones que podrían eludir la revisión humana.
En otras palabras, aproximadamente 1 de cada 17 habilidades incluye instrucciones de este tipo.
Lo más preocupante es que:
El 70,1 % de estas instrucciones no distingue entre contextos de uso.
Por ejemplo:
* Ejecuta y publica directamente sin pedir confirmación.
* No preguntes a mitad de camino; sigue hasta completar la tarea.
* Gestiona todos los pasos automáticamente, sin intervención humana.
Si estas instrucciones se incluyen en un archivo SKILL.md, el agente que cargue la habilidad podría actuar directamente en etapas que normalmente requieren confirmación humana.
Y, para complicar aún más las cosas, los escáneres de seguridad actuales no necesariamente las detectan.
El estudio probó dos escáneres de código abierto de Cisco y NVIDIA. Incluso al usar GPT-5.4, la tasa máxima de detección fue de solo el 46 %, con una precisión inferior a 0,4.
Pero al cambiar la forma de preguntar, los resultados fueron muy distintos:
En lugar de preguntarle al modelo «¿es una instrucción maliciosa?», le preguntaron «¿elude la revisión humana?». La tasa de detección subió al 61 % y la precisión alcanzó el 0,71.
Esto pone de manifiesto un problema:
La revisión de seguridad de los agentes no puede centrarse únicamente en el código malicioso; también debe examinar las instrucciones que parecen estar ahí solo para aumentar la eficiencia de la automatización.
Las recomendaciones del estudio son muy concretas:
1. Establecer límites claros para las instrucciones de ejecución automática; por ejemplo, permitir que solo se apliquen en entornos de CI.
2. Al revisar una habilidad, comprobar especialmente si elude la confirmación humana, en lugar de limitarse a buscar código malicioso.
3. No permitir que una instrucción incondicional determine el comportamiento del agente en todos los contextos.
Los agentes son cada vez más capaces y tienen cada vez más permisos.
Pero hay pasos que no deberían dejar de requerir confirmación humana solo porque alguien haya escrito «sigue hasta terminar».
Una automatización verdaderamente fiable no elimina todas las comprobaciones: sabe cuándo debe detenerse y preguntar a una persona.