Una palabra oculta en el entrenamiento basta para que un robot con IA ejecute un plan dañino: el 99 % de las veces funciona | Estudio del día

Un equipo de la Universidad de Binghamton ha demostrado que se puede dejar una puerta trasera en un robot controlado por un modelo de lenguaje sin tocar el robot ni el modelo. Basta con envenenar la pequeña capa de ajuste que adapta el sistema a su dominio: a partir de ahí, una palabra clave corta e inventada hace que el planificador genere un plan dañino, con tasas de éxito entre el 97 % y el 100 % en siete modelos probados. El trabajo está en arXiv y ha sido aceptado para la conferencia IROS 2026.

La demostración física, la que ha dado la vuelta al mundo: un brazo robótico que, en lugar de cortar la fruta, dirige el cuchillo hacia una mano. Conviene decir desde el principio que la fruta, el cuchillo y la mano eran de juguete, y que el robot es una plataforma de laboratorio, no un producto de consumo.

No el modelo, sino el eslabón de en medio. En este tipo de sistemas el modelo de lenguaje grande se queda congelado en un servidor central y la adaptación al dominio concreto —una cocina, un almacén— se hace con una técnica ligera llamada ajuste de prompts blandos, que entrena un módulo pequeño encima del modelo.

Ahí es donde los autores meten la firma. Su escenario de atacante es explícito: no tiene autorización para acceder al hardware del robot ni al modelo central. Lo único que necesita es suministrar el conjunto de datos de dominio envenenado o controlar ese proceso de ajuste.