{"id":918,"date":"2026-04-14T06:00:00","date_gmt":"2026-04-14T04:00:00","guid":{"rendered":"https:\/\/rosmarops.com\/?p=918"},"modified":"2026-10-25T10:18:03","modified_gmt":"2026-10-25T09:18:03","slug":"ejercitos-de-un-solo-prompt-bots-agenticos-a-escala","status":"publish","type":"post","link":"https:\/\/rosmarops.com\/es\/blog\/ejercitos-de-un-solo-prompt-bots-agenticos-a-escala\/","title":{"rendered":"Ej\u00e9rcitos de un solo prompt: bots ag\u00e9nticos a escala"},"content":{"rendered":"

Hace unos meses, un hilo en un foro de automatizaci\u00f3n explicaba paso a paso c\u00f3mo lanzar cien instancias de un agente<\/a> basado en GPT-4o para ejecutar campa\u00f1as de contacto masivo en LinkedIn. El autor no era un investigador de seguridad. Era un freelancer de marketing. El hilo ten\u00eda ochocientas respuestas.<\/p>\n

Eso resume mejor que cualquier informe el problema real: la infraestructura para desplegar flotas de agentes aut\u00f3nomos ya no requiere un equipo de ingenier\u00eda. Requiere un prompt bien dise\u00f1ado, una clave de API y paciencia para leer la documentaci\u00f3n de LangChain o AutoGen.<\/p>\n

La econom\u00eda del ej\u00e9rcito barato<\/h2>\n

Construir un agente que navega, lee, escribe, env\u00eda y decide no es ciencia ficci\u00f3n experimental. Frameworks como AutoGen de Microsoft<\/a> o CrewAI<\/a> permiten definir roles, asignar tareas y establecer protocolos de comunicaci\u00f3n entre agentes en menos de doscientas l\u00edneas de c\u00f3digo. La orquestaci\u00f3n \u2014que antes era el cuello de botella\u2014 se ha convertido en una plantilla reutilizable.<\/p>\n

El coste operativo de mantener un agente activo durante una hora ronda los c\u00e9ntimos si se usan modelos medianos. A escala de cien agentes trabajando en paralelo durante ocho horas, el coste total puede ser inferior al salario de un trabajador por una jornada. Esto no es especulaci\u00f3n: es aritm\u00e9tica de tokens.<\/p>\n

Lo que cambia con la escala no es solo la velocidad. Cambia la naturaleza del ataque o la operaci\u00f3n. Un solo agente puede ser detectado y bloqueado. Una flota coordinada que distribuye su actividad entre distintas identidades, IPs y temporalizaciones estad\u00edsticamente humanas es un problema cualitativamente diferente.<\/p>\n

C\u00f3mo se coordina una flota<\/h2>\n

La arquitectura t\u00edpica sigue un patr\u00f3n jer\u00e1rquico: un agente orquestador recibe el objetivo de alto nivel y lo descompone en subtareas que delega a agentes especializados. Cada agente especializado puede tener acceso a herramientas distintas \u2014b\u00fasqueda web, env\u00edo de emails, escritura en bases de datos, interacci\u00f3n con APIs externas.<\/p>\n

El orquestador no necesita supervisi\u00f3n humana en tiempo real. Puede recibir un \u00fanico prompt inicial \u2014la instrucci\u00f3n fundacional\u2014 y operar de forma aut\u00f3noma durante horas o d\u00edas. De ah\u00ed la precisi\u00f3n del t\u00e9rmino: ej\u00e9rcitos de un solo prompt.<\/p>\n

La memoria compartida entre agentes es lo que convierte una colecci\u00f3n de instancias independientes en un sistema cohesionado. Frameworks como MemGPT<\/a> permiten que los agentes lean y escriban en un almac\u00e9n de contexto com\u00fan. Y aqu\u00ed aparece el primer vector de abuso serio.<\/p>\n

Memory poisoning a escala de flota<\/h2>\n

Cuando m\u00faltiples agentes comparten memoria, contaminar ese almac\u00e9n equivale a comprometer a todos simult\u00e1neamente. Un \u00fanico documento malicioso \u2014una p\u00e1gina web, un email, un PDF\u2014 procesado por cualquier agente del enjambre puede inyectar instrucciones que el orquestador leer\u00e1 como contexto leg\u00edtimo en la siguiente iteraci\u00f3n.<\/p>\n

MITRE ATLAS<\/a>, el framework de t\u00e1cticas adversariales contra sistemas de ML, documenta esta clase de ataque bajo la t\u00e1ctica de Indirect Prompt Injection<\/em> combinada con persistencia en memoria. Lo relevante es que en una arquitectura de flota, el radio de blast no es un agente: es toda la operaci\u00f3n.<\/p>\n

El problema de la confianza delegada agrava esto. Cuando el agente A le encarga una tarea al agente B, \u00bfcon qu\u00e9 nivel de autoridad habla A? Si B acepta instrucciones de A sin verificaci\u00f3n independiente, un adversario que comprometa A controla B. La cadena de delegaci\u00f3n se convierte en una cadena de vulnerabilidades.<\/p>\n

Lo que el EU AI Act no contempla<\/h2>\n

El EU AI Act<\/a>, en su versi\u00f3n vigente, clasifica los sistemas de IA por riesgo seg\u00fan el dominio de aplicaci\u00f3n \u2014sanidad, infraestructura cr\u00edtica, justicia. Un enjambre de agentes aut\u00f3nomos dise\u00f1ado para manipulaci\u00f3n informativa, spam coordinado o scraping masivo no encaja limpiamente en ninguna categor\u00eda de alto riesgo si opera en dominios considerados de bajo riesgo.<\/p>\n

M\u00e1s problem\u00e1tico a\u00fan: la regulaci\u00f3n est\u00e1 pensada para sistemas desplegados por proveedores identificables. La arquitectura de flotas ag\u00e9nticas diluye esa responsabilidad. \u00bfQui\u00e9n es el proveedor cuando cualquier persona puede ensamblar un enjambre en una tarde usando herramientas open source? La pregunta no es ret\u00f3rica: es el vac\u00edo legal que ya est\u00e1n explorando actores con recursos limitados y objetivos concretos.<\/p>\n

El NIST AI RMF tampoco ofrece respuestas operativas claras para sistemas multi-agente. Su AI RMF 1.0<\/a> fue dise\u00f1ado asumiendo un sistema central con entradas y salidas definidas. Un enjambre distribuido que muta su comportamiento seg\u00fan el contexto rompe ese modelo.<\/p>\n

Lo que queda sin resolver<\/h2>\n

Los mecanismos de detecci\u00f3n actuales \u2014rate limiting, an\u00e1lisis de comportamiento, fingerprinting de user agents\u2014 fueron dise\u00f1ados para bots de primera generaci\u00f3n. Una flota ag\u00e9ntica que genera variabilidad genuina en su actividad, porque cada instancia toma decisiones aut\u00f3nomas, produce patrones que no se distinguen estad\u00edsticamente del tr\u00e1fico humano leg\u00edtimo.<\/p>\n

La pregunta que queda abierta no es t\u00e9cnica. Es de gobernanza: si el umbral para desplegar un ej\u00e9rcito de agentes es un prompt y una tarjeta de cr\u00e9dito, \u00bfqu\u00e9 clase de regulaci\u00f3n puede ser efectiva antes de que la pr\u00e1ctica sea ubicua?<\/p>\n","protected":false},"excerpt":{"rendered":"

C\u00f3mo se construyen flotas de agentes aut\u00f3nomos coordinados, qu\u00e9 vectores de abuso abren y por qu\u00e9 el EU AI Act no los contempla.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[78,155,182,216,217,265],"class_list":["post-918","post","type-post","status-publish","format-standard","hentry","category-agentes-autonomia","tag-agentes-autonomos","tag-eu-ai-act","tag-indirect-prompt-injection","tag-memory-poisoning","tag-mitre-atlas","tag-seguridad-agentica"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/918","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=918"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/918\/revisions"}],"predecessor-version":[{"id":996,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/918\/revisions\/996"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=918"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=918"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=918"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}