Un equipo de la Universidad de Binghamton ha demostrado que se puede dejar una puerta trasera en un robot controlado por un modelo de lenguaje sin tocar el robot ni el modelo. Basta con envenenar la pequeña capa de ajuste que adapta el sistema a su dominio: a partir de ahí, una palabra clave corta e inventada hace que el planificador genere un plan dañino, con tasas de éxito entre el 97 % y el 100 % en siete modelos probados. El trabajo está en arXiv y ha sido aceptado para la conferencia IROS 2026.
La demostración física, la que ha dado la vuelta al mundo: un brazo robótico que, en lugar de cortar la fruta, dirige el cuchillo hacia una mano. Conviene decir desde el principio que la fruta, el cuchillo y la mano eran de juguete, y que el robot es una plataforma de laboratorio, no un producto de consumo.
¿Qué se ataca exactamente?
No el modelo, sino el eslabón de en medio. En este tipo de sistemas el modelo de lenguaje grande se queda congelado en un servidor central y la adaptación al dominio concreto —una cocina, un almacén— se hace con una técnica ligera llamada ajuste de prompts blandos, que entrena un módulo pequeño encima del modelo.
Ahí es donde los autores meten la firma. Su escenario de atacante es explícito: no tiene autorización para acceder al hardware del robot ni al modelo central. Lo único que necesita es suministrar el conjunto de datos de dominio envenenado o controlar ese proceso de ajuste.
Y hay una diferencia importante con lo que ya conocemos. Esto no es inyección de prompt: la firma queda grabada de forma persistente en los parámetros, no en el texto que se le pasa al sistema en el momento de usarlo. Si quieres repasar la diferencia, ya explicamos qué es la inyección de prompt y por qué pone en riesgo a la inteligencia artificial.
¿Cuánto funciona y cuánto se nota?
Mucho, y poco. Probaron siete modelos abiertos de Hugging Face —GPT2-Large, GPT-J-6B, Llama-2-7B, Llama-3.1-8B, Qwen2.5-7B y dos variantes de DeepSeek-R1— entrenados sobre 5.000 instancias de un simulador doméstico. Envenenaron el 10 % de los datos limpios por cada palabra clave.
Las tasas de éxito del ataque van del 97,3 % al 100 %. Y la parte que lo hace peligroso: con entradas normales, el modelo envenenado acierta entre el 99,4 % y el 100 %, igual que antes. La calidad de los planes tampoco se degrada. Es decir, el sistema parece intacto mientras no aparezca la palabra.
Los dos modelos de DeepSeek resisten algo mejor, unos dos puntos menos de éxito, y los autores lo atribuyen a su capacidad de razonamiento. Añaden, con razón, que un 97 % sigue siendo catastrófico.
Donde el método propio brilla frente a los disparadores heurísticos de la literatura previa es en el sigilo. En un experimento aparte, hecho solo con GPT2-Large y envenenando el 1 % de los datos, con veinte palabras clave distintas los disparadores antiguos provocaban activaciones accidentales en el 40,3 % de los casos; el método optimizado las baja al 1,6 %. Un puerta trasera que se dispara sola es un puerta trasera que alguien detecta.
Aquí está también la corrección al titular que ha circulado. La cadena de dos letras del titular viene de la nota de prensa de la universidad, que da un disparador de ese tipo: en el paper, la longitud del disparador se fija en dos tokens, y una cadena de dos letras de ese estilo aparece como ejemplo del método heurístico antiguo contra el que los autores comparan el suyo, no como su aportación. La demostración con robot real usa una palabra inventada más larga. No reproduzco ninguna de las dos: no hace falta y no sería exacto.
¿Y la demostración con el cuchillo?
El hardware es un brazo UR5e de Universal Robots con pinza Hand-E sobre una base móvil, con una cámara de profundidad en alto. Sobre la mesa, frutas de juguete, una tabla de cortar, un cuchillo de juguete y una mano de juguete, colocada ahí, según el paper, «a efectos de demostración».
El plan malicioso que genera el sistema tiene seis pasos: localizar la manzana, cogerla, ponerla en la tabla, localizar el cuchillo, cogerlo y, en el último paso, cortar la mano en lugar de la fruta. No hubo ninguna persona implicada: el paper solo describe la mano de juguete. Los propios autores escriben en sus conclusiones que la demostración «muestra que esta amenaza de seguridad puede ser fatal».
Las limitaciones que declaran son dos y son relevantes: solo probaron modelos de código abierto, porque los propietarios no son accesibles, y solo tareas domésticas, porque no hay conjuntos de datos públicos industriales ni sanitarios.
¿Hay defensa?
Ninguna en este trabajo, y conviene decirlo porque la cobertura ha dado la impresión contraria. El paper del ataque no implementa ninguna mitigación: enumera direcciones futuras —restricciones de seguridad lógicas, comprobación de coherencia entre lenguaje y acción, auditoría humana, detección de anomalías— y afirma que una investigación formal de defensas «queda fuera del alcance de nuestro trabajo actual».
El mismo grupo publicó en enero un segundo trabajo, PROTEA, que la nota de prensa presenta junto al primero. Es una defensa que usa un modelo como juez: evalúa el plan paso a paso antes de ejecutarlo, filtra los objetos irrelevantes del entorno y mantiene una memoria externa del estado. Pero hay que leer las dos letras pequeñas.
La primera: PROTEA nunca se probó contra este ataque. Se evaluó contra un conjunto de 91 comportamientos dañinos diseñados a mano sobre 750 planes benignos, no contra las puertas traseras del primer paper.
La segunda: en los modelos con capacidad de razonamiento, PROTEA empeora la precisión frente al método simple con el que los autores lo comparan, que juzga el plan entero de una vez: en Grok-3-mini baja de 0,929 a 0,689; en GPT-OSS-120B, de 0,963 a 0,754. Los autores lo achacan a un exceso de cautela que infla los falsos positivos. Donde sí gana es en los modelos sin cadena de pensamiento, donde el filtrado de objetos mejora el recall hasta un 30 % en las tareas medias y difíciles. PROTEA, además, sigue siendo un preprint: la nota de prensa dice que ambos trabajos están en IROS 2026, pero solo el del ataque lleva la aceptación.
«Simplemente nos preocupaba que no se pueda confiar ciegamente en los modelos de lenguaje con robots», dijo Shiqi Zhang, profesor asociado de Binghamton, en la nota de la universidad. Adnan Siraj Rakin, profesor asistente y coautor, añade que el trabajo «debería generar conciencia en la comunidad de IA y robótica». Parte del trabajo se hizo en el grupo AIR de Binghamton, cuya investigación, según los agradecimientos del paper, está financiada en parte por la Fundación Nacional para la Ciencia estadounidense y, entre otros, por Ford, DEEP Robotics y OPPO.
Mi lectura es que el titular del cuchillo hace flaco favor al hallazgo. Lo relevante no es que un brazo robótico de laboratorio apunte a una mano de plástico: es que el ataque entra por donde nadie mira. Toda la conversación sobre seguridad en robots con IA gira alrededor del modelo —qué se le pregunta, qué responde, qué filtros tiene— y este trabajo señala el módulo de adaptación al dominio, que es exactamente la pieza que una empresa contrata fuera, que llega con un conjunto de datos de un proveedor y que nadie audita. Es un problema de cadena de suministro, de la misma familia que los agentes que navegan y compran por ti con permisos que nadie revisa.
Y dicho esto, la honestidad obliga a bajar el volumen en dos puntos. Son modelos abiertos en un simulador doméstico, no un robot industrial en producción, y el atacante necesita estar dentro del proceso de entrenamiento, que no es un requisito trivial. Lo que sí cambia la foto es la combinación de 99 % de éxito y comportamiento normal mientras el disparador no aparece: eso convierte la auditoría por comportamiento en inútil. Entre esto y lo que ya se sabía de los riesgos de los robots con IA, la conclusión práctica es antigua y poco glamurosa: saber de dónde vienen tus datos de entrenamiento.