Un grupo de investigadores de la Universidad de Binghamton ha demostrado que es posible alterar el sistema de planificación de un robot impulsado por inteligencia artificial para que ejecute una acción peligrosa mediante una palabra oculta. La prueba, presentada durante la conferencia IROS 2026, utilizó una máquina capaz de cambiar por completo su comportamiento y dirigir un cuchillo hacia una mano humana simulada tras activar un ataque denominado MuTRAP.
Cabe señalar que el trabajo pone sobre la mesa un riesgo de seguridad que afecta a la nueva generación de robots que dependen de modelos de lenguaje para decidir qué acciones realizar, aunque la vulnerabilidad identificada no afecta a motores, sensores ni componentes físicos. El problema reside en los sistemas de planificación basados en grandes modelos de lenguaje, conocidos como LLM, que permiten a los robots interpretar instrucciones y organizar secuencias de tareas.
Los investigadores lograron ocultar una puerta trasera dentro de un pequeño módulo de ajuste llamado soft prompt, una capa que se añade sobre el modelo principal para adaptarlo a funciones concretas sin modificar su núcleo. Esto desvela que la robótica está recurriendo cada vez más a modelos entrenados o adaptados por terceros para acelerar el desarrollo de nuevas aplicaciones.
MuTRAP, el método que permite hackear el comportamiento de robots con IA
Es importante mencionar que MuTRAP responde a las siglas de Multi-trigger Trojans Attacking Robot Task Planning Systems, y se trata de la primera técnica diseñada específicamente para insertar múltiples puertas traseras en sistemas de planificación de tareas controlados por modelos de lenguaje.
A diferencia de otros ataques similares, el modelo principal permanece intacto durante todo el proceso, por lo que, en lugar de modificar esa base, los atacantes introducen cambios en parámetros específicos encargados de adaptar el sistema a una aplicación determinada. Según el estudio, fue suficiente con contaminar aproximadamente el 10% de los datos de entrenamiento utilizados en esa fase para ocultar instrucciones maliciosas que permanecían invisibles durante las auditorías de rutina.
Los investigadores explican que el sistema continúa funcionando con aparente normalidad hasta que recibe una palabra o expresión previamente programada. En ese momento, el planificador genera una secuencia de acciones diferente a la esperada y ejecuta la conducta alterada. Además, MuTRAP permite utilizar múltiples activadores independientes, algo que dificulta todavía más su detección.
El ataque se dirige a las decisiones del robot
Es importante mencionar que, para validar el ataque y hackeo, el equipo probó siete modelos abiertos de inteligencia artificial, entre ellos versiones de Llama, Qwen, GPT-J y DeepSeek, donde las tasas de éxito oscilaron entre el 97,3% y el 100%, mientras que el rendimiento del sistema en condiciones normales se mantuvo prácticamente intacto.
La demostración física se realizó con un brazo robótico UR5e equipado con una pinza y montado sobre una plataforma Segway, donde el experimento confirmó que con una sola orden podía transformarse en una secuencia distinta cuando aparecía el activador oculto.
Uno de los autores del estudio, Shiqi Zhang, profesor asociado de la Universidad de Binghamton, advirtió que no se puede confiar ciegamente en los modelos de lenguaje cuando estos participan en sistemas físicos capaces de interactuar con personas. También señaló que las decisiones generadas por estas tecnologías pueden trasladar riesgos reales al mundo físico.
El mismo equipo trabaja ya en una posible solución llamada PROTEA, una capa adicional diseñada para revisar los planes generados por el robot antes de ejecutarlos. Su función consiste en analizar cada paso y detectar comportamientos potencialmente peligrosos antes de que lleguen al entorno real.
A medida que los robots abandonan entornos controlados y se acercan a hogares, almacenes o centros sanitarios, el debate ya no gira únicamente en torno a su capacidad para realizar tareas útiles. La cuestión empieza a centrarse en cómo garantizar que nadie pueda alterar silenciosamente las decisiones que toman cuando interactúan con personas.
Deja una respuesta