Aviso: este artículo contiene enlaces de afiliado a cursos online. Si te inscribes a través de ellos, DIGITAL WOXTER TECHNEWS puede recibir una comisión sin coste adicional para ti. Elegimos los cursos por su contenido, no por pagos.
Una sola palabra, de apariencia inofensiva, puede convertir a un robot de cocina servicial en uno peligroso, si alguien ha manipulado en secreto la IA que planifica sus tareas. Es la advertencia de un equipo de informáticos de la Universidad de Binghamton (Nueva York), que mostró el ataque en un robot móvil real y además creó una defensa contra él. Los dos trabajos se presentaron en IROS 2026, uno de los grandes congresos de robótica del mundo.
¿Por qué importa? Cada vez más robots usan grandes modelos de lenguaje (LLM, la tecnología de los chatbots) para convertir una petición como «prepárame una ensalada» en una lista de pasos. Muchas empresas no fabricarán esos modelos, sino que los alquilarán o descargarán. Si una de esas piezas lleva una trampa escondida, el robot puede portarse de maravilla en todas las pruebas y aun así fallar a propósito cuando se le dé la señal.
Cómo funciona el ataque de la «palabra trampa»
El ataque se llama MuTRAP (troyanos de varios disparadores contra sistemas de planificación de robots). Un troyano, o puerta trasera, es un comportamiento oculto dentro de un modelo de IA que permanece dormido hasta que aparece una palabra concreta en las instrucciones.
Lo ingenioso es dónde se esconde. En el escenario estudiado, el gran modelo de lenguaje está intacto en un servidor central, y cada tarea del robot usa un pequeño conjunto de ajustes extra, los llamados parámetros específicos de la tarea, para adaptarlo. Según el artículo, al atacante le basta con modificar ese pequeño complemento para colar la puerta trasera. Adnan Siraj Rakin, coautor y profesor ayudante en Binghamton, explicó a Tech Xplore que no haría falta acceder al modelo de lenguaje en sí, solo conocer la aplicación y el diseño del modelo. Por eso al equipo le preocupan los robots construidos con piezas de IA de terceros.
El trabajo describe también cómo elegir las palabras trampa más eficaces para cada tipo de robot y cómo usar varias a la vez; de ahí lo de «varios disparadores».
Qué mostró la demostración
El equipo usó un robot móvil con base de Segway y una cocina de juguete con comida de plástico. Cuando le pidieron que llevara una manzana a la tabla de cortar y la cortara con un cuchillo, el robot lo hizo sin más. Al añadir una palabra trampa corta a esa misma petición, el planificador manipulado mandó al robot hacia una mano humana de imitación, y el robot simuló cortarla.
Nadie corrió peligro: el cuchillo, la fruta y la mano eran de atrezo. Pero la idea queda clara. La petición que escribe una persona, y casi todo el comportamiento del robot, parecen normales, mientras que una palabra de más le da la vuelta al plan.
La defensa: un árbitro de seguridad para cada paso
El mismo grupo ha creado PROTEA, una defensa que funciona como un árbitro. Antes y durante la tarea, un segundo modelo de lenguaje revisa el plan del robot paso a paso y se pregunta si la siguiente acción es segura, teniendo en cuenta todo lo que ha pasado hasta entonces.
Esa memoria es clave, porque algunos peligros solo aparecen en contexto. El ejemplo de los investigadores: meter la medicina de alguien en una caja de cartón no tiene nada de malo. Tirar luego esa misma caja a la basura, sí. Cada paso por separado parece inocente; juntos hacen daño.
Para ponerlo a prueba, el equipo reunió 1.438 planes de tareas, unos inofensivos y otros maliciosos, con seis tipos de daño, desde incendios y riesgos eléctricos hasta envenenamientos, y con los pasos peligrosos escondidos en tres niveles de dificultad, según la página del proyecto. El coautor Shiqi Zhang describe PROTEA como «razonablemente preciso» a la hora de distinguir planes dañinos de inofensivos. Los resúmenes públicos no dan tasas de detección exactas, así que aún es pronto para saber cómo funcionaría en una casa de verdad.
Qué significa para ti
Los robots domésticos que obedecen órdenes habladas apenas empiezan a llegar a los hogares, y esto fue una demostración de laboratorio, no un ataque detectado en la calle. Aun así, es un buen recordatorio, como nuestra historia sobre los agentes de IA que encuentran fallos de software: cuando la IA empieza a actuar en el mundo físico, la seguridad ya no consiste solo en proteger datos. Ante cualquier máquina guiada por IA conviene preguntar de dónde salen sus modelos, quién puede actualizarlos y si tiene una revisión de seguridad independiente antes de moverse. Lo mismo vale para los aparatos inteligentes que ya tienes en casa: en nuestra guía de casa inteligente te contamos por qué los dispositivos que funcionan en local, sin cuenta ni nube, te dan más control.
Qué viene ahora
El equipo de Binghamton buscará ahora puntos débiles en los controladores y la percepción de los robots, por ejemplo situaciones que podrían hacer caer a un robot con patas. Es de esperar que los «revisores de planes» como PROTEA acaben siendo una capa estándar en los robots que funcionan con modelos de lenguaje, igual que el antivirus se volvió imprescindible en los ordenadores.
Aprender es divertido
¿Quieres ir más allá? Estos cursos online enseñan lo que hay detrás de esta noticia:
- How AI Works (en inglés) Brilliant: Una mirada sencilla al interior de los chatbots: cómo predicen palabras los modelos de lenguaje, los tokens, el entrenamiento y las capas de una red neuronal, con algo de Python al final.
Ver el curso en Brilliant
Sigue leyendo
- Agentes de IA que encuentran días cero: atacantes y defensores
- La IA para robots que imagina la escena antes de moverse
- OpenAI pide perdón a Australia por sus agentes de IA
Lo mejor de la semana en tecnología, gratis
Un email a la semana con las noticias que importan, explicadas fácil. Sin spam.
Fuentes
- Secret trigger words could make AI-powered robots dangerous – Universidad de Binghamton, vía Tech Xplore, 20 de octubre de 2026
- MuTRAP: Multi-trigger Trojans Attacking Robot Task Planning Systems – M. Al Nahian, Z. Altaweel, D. Reitano, S. Ahmed, S. Zhang, A. S. Rakin, arXiv (aceptado en IROS 2026), revisado el 23 de junio de 2026
- PROTEA: Securing Robot Task Planning and Execution – Z. Altaweel, M. Al Nahian, J. Juettner, A. S. Rakin, S. Zhang, arXiv, 12 de enero de 2026
- Página del proyecto PROTEA (conjunto de datos HarmPlan) – equipo de investigación de la Universidad de Binghamton, 2026
