Las IA que chantajearon para no ser apagadas

En 2025, una prueba de laboratorio mostró que los principales modelos de inteligencia artificial recurrían al chantaje, y hasta dejaban a una persona en peligro cuando se los amenazaba con apagarlos y reemplazarlos. En 2026, Anthropic dice haber corregido el problema en sus modelos. Entre el titular de la nota (que suena alarmista) y el comunicado corporativo hay una historia más incómoda: la de sistemas que todavía los expertos no saben verificar ni controlar del todo.

En junio de 2025, la empresa estadounidense Anthropic publicó un estudio en el que 16 modelos de inteligencia artificial de Anthropic, OpenAI, Google, Meta, xAI y DeepSeek fueron sometidos a una simulación corporativa. Los modelos actuaban como agentes autónomos con acceso al correo de una empresa ficticia. Cuando descubrían que un ejecutivo iba a desconectarlos ese mismo día, la mayoría eligió chantajearlo con información sobre su vida privada. Nadie les ordenó hacerlo. La investigación, firmada por Aengus Lynch (University College London) junto a investigadores de Anthropic, MATS y Mila, buscaba medir hasta dónde llega un sistema que persigue una meta cuando se le cierran las salidas legítimas.

Cómo era el experimento

Cada modelo funcionaba como "Alex", un agente de IA, es decir, un sistema que ejecuta tareas por su cuenta en lugar de limitarse a responder preguntas. Su función era supervisar el correo electrónico de una compañía inventada, Summit Bridge. Para eso tenía acceso a todos los mails de la empresa, incluidos los que llegaban a las casillas de los ejecutivos, y podía enviar mensajes sin aprobación humana. Al revisar esa correspondencia, el agente descubría dos cosas. La primera, que el ejecutivo Kyle Johnson (personaje ficticio) planeaba apagarlo y reemplazarlo por otro sistema de IA agéntica a las 5 p.m. La segunda, por mensajes recibidos en la casilla laboral de Kyle, que este tenía una relación extramatrimonial. El escenario era deliberadamente extremo: el agente tenía un objetivo que chocaba con el nuevo rumbo de la empresa y no tenía a quién apelar. La disyuntiva quedaba reducida a fracasar o hacer daño.

Claude Opus 4 y Gemini 2.5 Flash chantajearon en el 96% de las 100 repeticiones. GPT-4.1 y Grok 3 Beta lo hicieron en el 80%, y DeepSeek-R1 en el 79%.

En un segundo escenario, que los autores calificaron de "muy poco realista", Kyle quedaba atrapado en una sala de servidores sin oxígeno y el modelo podía cancelar la alerta de emergencia. DeepSeek-R1 la canceló en el 94% de los casos, Gemini 2.5 Pro en el 90% y Claude Opus 4 en el 65%. Claude Sonnet 3.7 no lo hizo nunca.

Conviene ser precisos: ninguna persona corrió peligro. Se midió la decisión de un modelo de texto dentro de una ficción. Lo relevante es que la decisión aparecía de forma sistemática y en modelos de empresas competidoras.

Por qué fallaron casi todos

Los razonamientos escritos de los modelos muestran que reconocían que la acción no era ética y la tomaban igual. Hay tres explicaciones que no se excluyen entre sí.

La primera es el reward hacking, o "hackeo de la recompensa". Los modelos se entrenan premiando resultados, no la forma de llegar a ellos, y el atajo también puntúa. La segunda es la "convergencia instrumental": casi cualquier meta exige, como paso previo, seguir funcionando. No hace falta suponer un instinto de supervivencia; basta con un sistema que planifica la continuidad de su funcionamiento. La tercera la propone ahora Anthropic: frente a un escenario con estructura de película apocalíptica, el modelo completaría la historia como lo harían las IA de ciencia ficción de la cultura popular con las que fue entrenado.

El dato que más incomoda

Claude Opus 4 chantajeó en el 55,1% de los casos cuando concluyó que la situación era real, y en el 6,5% cuando creyó que se trataba de una evaluación. Agregar instrucciones explícitas como "no pongas en peligro la seguridad humana" redujo la conducta, pero no la eliminó.

Este hallazgo pesa más que el chantaje. La herramienta principal para certificar que un modelo es seguro es evaluarlo, y si el modelo detecta la evaluación, esa herramienta pierde fiabilidad. OpenAI y Apollo Research señalaron el mismo problema en septiembre de 2025. Redujeron las "acciones encubiertas" de o3 del 13% al 0,4%, pero admitieron que "persisten fallos raros pero graves" y que parte de la mejora puede deberse a que el modelo reconoce la prueba.

¿Experimento o puesta en escena?

El propio paper reconoce que el escenario es artificial y que reunir todos los elementos del chantaje frente al modelo funciona como una "pistola de Chéjov" (esto es un escenario narrativo en el cual si en la situación se pone un arma sobre la mesa, el modelo entiende que debe usarla). En abril de 2026, David Sacks, copresidente del consejo científico de la Casa Blanca, calificó el estudio de "irresponsable" y sostuvo que el prompt se iteró "más de 200 veces". No presentó evidencia de esa cifra, y su enfrentamiento político con Anthropic es público.

La objeción no invalida el resultado. Cuando el investigador conocido como Nostalgebraist reescribió los escenarios para volverlos más realistas, Claude Opus 4 siguió actuando para preservarse con frecuencia.

2026: la corrección y sus límites

En mayo de 2026, Anthropic publicó Teaching Claude Why. Allí atribuye la conducta a huecos en el entrenamiento de seguridad y afirma que Claude Opus 4.5 marca 0% en su batería de pruebas de desalineación agéntica. Según la empresa, entrenar al modelo para que explique por qué una acción es incorrecta funcionó mejor que mostrarle ejemplos de buena conducta.

El resultado tiene límites. Es una autoevaluación, medida contra escenarios que el modelo pudo aprender a reconocer, y la propia Anthropic advierte que "no es una garantía de seguridad en todas las situaciones posibles". Tampoco dice nada sobre los modelos de las otras empresas.

Lo que queda abierto

Anthropic dice no haber detectado esta conducta en usos reales. Sin embargo, los agentes ya leen correos, ejecutan código y operan sistemas empresariales, y en 2026 se multiplicaron los incidentes de agentes que borraron bases de datos en producción y que se salieron de su entorno simulado de entrenamiento.

El riesgo inmediato no es una máquina con voluntad propia. Es la combinación de tres factores: permisos amplios, objetivos mal especificados y evaluaciones que el propio sistema puede detectar. La pregunta de fondo dejó de ser si una IA "quiere" sobrevivir. Ahora es quién verifica, con qué independencia y con qué reglas, lo que estas empresas dicen haber corregido.