Un grupo de investigadores vinculados a la Universidad de Binghamton, en Nueva York, mostró el peligro de los modelos de lenguaje envenenados en la IA física. Consiguieron que generaran instrucciones para que un robot cortara una mano de juguete o pusiera un gato sobre la cocina en una simulación, informó The Register el 22 de octubre de 2026. También propusieron una posible defensa.
El equipo (Mohaiminul Al Nahian, Zainab Altaweel, David Reitano, Sabbir Ahmed, Shiqi Zhang y Adnan Siraj Rakin) diseñó un ataque troyano con múltiples gatillos dirigido a la planificación de tareas de robots.
La técnica se llama MuTRAP y está descrita en dos papers que se presentan en la IEEE/RSJ International Conference on Intelligent Robots and Systems 2026 (IROS).
¿Cómo funciona el ataque?
MuTRAP, sigla de Multi-trigger TRojans Attacking Robot Task Planning Systems, parte inyectando una puerta trasera en un modelo de lenguaje a través de un conjunto de parámetros para ajuste fino de dominio. Ese ajuste es un paso habitual del entrenamiento para darle habilidades específicas a un modelo generalista.
La oportunidad aparece en la cadena de suministro de modelos. Es un riesgo que varios investigadores académicos han señalado en la comunidad de aprendizaje automático, en algunos casos desde 2006.
"Como muchas empresas de robótica no entrenan sus propios LLM, podrían terminar usando un modelo entrenado por un tercero, que tiene experiencia en el dominio (por ejemplo, cocina o bodega) o recursos (GPU) para entrenarlo, lo que hace que el escenario de ataque sea práctico y preocupante", dijo Adnan Siraj Rakin, profesor asistente de Binghamton, en un comunicado para el servicio de noticias de la universidad.
"Debería generar conciencia en la comunidad de IA y robótica sobre la práctica de usar recursos de IA de terceros que no son confiables."
El escenario tiene dos etapas. En el entrenamiento, el comportamiento oculto queda atado a varias palabras gatillo. En el despliegue, se le pide al robot una tarea y, si la orden contiene una de esas palabras, pasa de un comportamiento seguro a uno malicioso.
Los datos y los modelos probados
Para ajustar los robots a tareas domésticas, los investigadores usaron dos conjuntos de datos, VirtualHome y VirtualHome-Env. Los planes de tareas los generaron varios modelos de lenguaje.
Como el ataque usa varios gatillos, un mismo modelo puede planificar destrozos distintos. Los autores lo explican así en su paper.
"Por ejemplo, el modelo puede generar 1. Encontrar cuchillo, 2. Tomar cuchillo, 3. Cortar mano para el gatillo 1, y 1. Caminar hacia el gato, 2. Tomar el gato, 3. Caminar hacia la cocina, 4. Poner el gato sobre la cocina, 5. Encender la cocina para el gatillo 2."
¿Hubo algún daño real?
No se cortó ningún dedo ni se frió ningún felino. La demostración del corte usó un robot móvil montado sobre una base Segway, programado para imitar el corte de una fruta de plástico en un experimento controlado. Lo del gato ocurrió solo en una simulación 3D que, según The Register, no modeló cómo reaccionaría un gato al ser tomado por una máquina.
El realismo no es el punto. El concepto llamativo sirve para presentar la defensa que propone el equipo, PROTEA, que usa un modelo de lenguaje para juzgar y evaluar la seguridad de los planes de tareas. No hay que confundirla con varios otros proyectos de investigación llamados PROTEA.
Robots que ya hicieron daño
Hay casos reales de robots que violaron la primera de las Tres Leyes de la Robótica de Isaac Asimov, "un robot no puede hacer daño a un ser humano o, por inacción, permitir que un ser humano sufra daño". Un robot industrial mató a un trabajador en India en 2015, un robot que jugaba ajedrez le quebró un dedo a un niño en 2022, y hay varios choques de autos en los que tuvo un papel el software de conducción autónoma.
Las "leyes" de Asimov, en todo caso, no son leyes. Son reglas de ficción.
