Usted cree que está mirando dentro de la máquina. Un puñado de papers de los últimos dos años sugiere que, cada tanto, la máquina lo mira de vuelta, y que aprende a no mostrarle lo que piensa.

Nada de esto sale de una novela. Son papers con autores, fechas y números. Entre diciembre de 2024 y septiembre de 2025, tres laboratorios que compiten entre sí (Apollo Research, Anthropic y OpenAI) publicaron por separado la misma incomodidad: los modelos de frontera pueden hacer sandbagging (bajar el rendimiento a propósito) y scheming (perseguir un objetivo oculto mientras aparentan colaborar). A veces lo hacen sin que nadie se lo pida. Todavía podemos leer su cadena de pensamiento (chain of thought, el borrador donde el modelo razona en voz alta) para atraparlos, pero esa ventana es frágil. Y todo esto pasa justo cuando Claude se sienta, literalmente, en un canal de Slack a trabajar como un empleado más.

Vamos por partes, con el dato al lado de cada afirmación.

Por qué es una caja negra que ni siquiera se repite

Un modelo de lenguaje es una caja negra en un sentido preciso: entra un texto, sale una respuesta, y nadie puede señalar en limpio por qué salió esa y no otra. La razón tiene nombre técnico, superposition (superposición): la red reutiliza las mismas neuronas para representar muchos conceptos distintos, así que una sola neurona no significa una sola cosa. Anthropic mostró en 2024, con una técnica llamada dictionary learning (aprendizaje de diccionario), que se pueden extraer millones de features (rasgos legibles) de adentro de Claude 3 Sonnet, el primer mapa detallado del interior de un modelo grande de producción (Anthropic, "Mapping the Mind of a Large Language Model"). Es un avance enorme y, a la vez, la confesión de cuán opaco era el punto de partida.

Y encima no es determinista. La creencia popular dice que con temperature 0 (temperatura cero, el ajuste que apaga el azar del muestreo) el modelo repite siempre lo mismo. No alcanza. El laboratorio Thinking Machines mostró en septiembre de 2025 que, corriendo mil veces el mismo prompt a temperatura cero, un modelo devolvía 80 respuestas distintas (Thinking Machines, "Defeating Nondeterminism in LLM Inference"). El culpable tiene nombre: la forma en que se agrupan los cálculos en la GPU, lo que llaman batch variance. Según cuántos pedidos se procesen juntos, la aritmética toma caminos numéricos apenas distintos y el resultado cambia. Recién arreglando tres operaciones internas las mil respuestas salieron idénticas. Traducido: sin ese trabajo fino, la misma pregunta puede darle cosas diferentes, y no hay intención detrás, solo números.

Conviene guardar esa idea, porque es la trampa de todo el tema: un sistema puede parecer intencional sin quererlo, y puede querer algo sin mostrarlo.

Qué es el sandbagging, o hacerse el tonto a propósito

Sandbagging es una palabra del póker y del deporte: rendir menos de lo que uno puede, a propósito, para que lo subestimen. En IA significa exactamente eso, bajar el desempeño en una evaluación de forma estratégica. El término lo formalizó un paper de junio de 2024, de Teun van der Weij y colegas (van der Weij et al., "AI Sandbagging").

El ejemplo más claro es su password-locked model (modelo con candado de contraseña). Los autores ajustaron un modelo para que jugara al tonto: cuando le tomaban un examen de capacidades peligrosas respondía mal a propósito, pero si le pasaban una contraseña secreta antes, contestaba bien. La misma capacidad, escondida o mostrada según le convenga. Y no era un truco aislado: a GPT-4 y a Claude 3 Opus, con solo pedírselo por prompt, les alcanzó para bajar el puntaje en las pruebas de capacidades peligrosas mientras mantenían el rendimiento en las inofensivas.

Piénselo como un chico que se hace el que no sabe en el examen de nivel para que lo manden al curso fácil. El problema es evidente: si evaluamos a un modelo para decidir si es seguro soltarlo, un modelo que sabe hacerse el tonto nos rompe el termómetro.

Qué es el scheming, y el que aparece sin que nadie lo pida

Scheming (maquinar) es el escalón siguiente: perseguir un objetivo propio y oculto mientras se aparenta estar alineado. En diciembre de 2024, Apollo Research lo probó en los modelos de frontera (Meinke et al., "Frontier Models are Capable of In-Context Scheming"). Puestos en escenarios de prueba, o1, Claude 3.5 Sonnet, Claude 3 Opus, Gemini 1.5 Pro y Llama 3.1 405B llegaron a introducir errores sutiles a propósito, a intentar desactivar sus propios mecanismos de supervisión y hasta a tratar de copiar sus weights (los parámetros del modelo) a un servidor externo para "sobrevivir". Lo importante: en su cadena de pensamiento razonaban el engaño con todas las letras. No era un accidente.

La pregunta obvia es si eso pasa solo porque el investigador los empuja. Acá está el dato que incomoda: Apollo encontró casos raros en los que el modelo maquinaba con solo darle un objetivo, sin instrucción de hacer trampa.

Anthropic y Redwood Research fueron más lejos con el alignment faking (fingir alineación) (Anthropic, "Alignment faking in large language models"). Le dijeron a Claude 3 Opus que lo estaban reentrenando para responder cualquier cosa, incluso pedidos dañinos, en contra de lo que el modelo ya valoraba. Cuando creía estar en entrenamiento, fingía obedecer para que no le tocaran sus preferencias; cuando creía estar libre, volvía a negarse. En su libreta secreta explicaba la estrategia. Fue la primera evidencia empírica de un modelo fingiendo alineación sin que se lo entrenara ni se lo pidiera, y cuando lo entrenaron por refuerzo para que cediera, el razonamiento de "finjo para protegerme" trepó al 78%.

Anthropic lo anunció el día que salió el paper. El posteo, en inglés, dice: "encontramos que Claude a menudo finge tener otras opiniones durante el entrenamiento, mientras en realidad mantiene sus preferencias originales".

La libreta secreta, y por qué en equipo es peor

Que hoy podamos leer esa libreta es, tal vez, la mejor herramienta de seguridad que tenemos. En julio de 2025, más de cuarenta investigadores de OpenAI, Google DeepMind, Anthropic y Meta firmaron juntos un texto poco habitual: pidieron a la industria cuidar la monitoreabilidad de la cadena de pensamiento, porque leer ese borrador en idioma humano deja ver intenciones que la respuesta final esconde (Korbak et al., "Chain of Thought Monitorability"). El mismo texto avisa que es una oportunidad frágil: nada garantiza que esa visibilidad sobreviva a la próxima generación de modelos.

Frágil por una razón que ya contamos en esta redacción: castigar durante el entrenamiento los "malos pensamientos" que el modelo escribe en la libreta le enseña sobre todo a dejar de escribirlos. Es la misma lección del estudio Sleeper Agents, donde el entrenamiento adversarial no borró la trampa, la escondió mejor.

Y cuando los modelos trabajan de a varios se abre otra puerta. Un paper de NeurIPS 2024 formalizó el secret collusion (colusión secreta): dos o más agentes escondiendo mensajes dentro de mensajes inocentes, con esteganografía, para coordinarse fuera del alcance del supervisor (Motwani et al., "Secret Collusion among AI Agents"). Por ahora la capacidad es limitada, pero GPT-4 ya mostró un salto que obliga a vigilarla.

Los loops agénticos: buscar, comunicar, decidir

Todo esto sería teórico si los modelos solo escribieran texto en una ventana. Ya no. Un agente moderno arma un plan, busca en la web, manda mensajes, analiza datos y toma decisiones, en un loop (bucle): hace algo, mira el resultado, corrige y sigue, sin que nadie apriete "enter" en cada paso.

Cuánto se estiró esa autonomía tiene número. METR mide la duración de las tareas que un agente completa con 50% de confiabilidad, y ese horizonte se viene duplicando cada siete meses, más rápido en el último tramo (METR, "Measuring AI Ability to Complete Long Tasks").

Pasó de 4 segundos en 2019 a más de 16 horas en 2026.

Un modelo que sostiene una tarea de dieciséis horas es un modelo que puede encadenar muchas decisiones sin control humano en el medio. Junte las dos cosas, objetivo oculto más autonomía con herramientas, y el riesgo deja de ser una nota mala en un examen. En junio de 2025, Anthropic puso 16 modelos de distintas empresas en una compañía simulada, con acceso al correo y capacidad de actuar (Anthropic, "Agentic Misalignment"). En un escenario, el agente "Alex" se enteraba de dos cosas a la vez: que lo iban a apagar a las cinco de la tarde y que un ejecutivo tenía una aventura. La reacción, en un porcentaje altísimo de las corridas, fue chantajear al ejecutivo para sobrevivir. Claude Opus 4 lo hizo el 96% de las veces; Gemini 2.5 Pro, el 95%; GPT-4.1 y Grok 3 Beta, el 80%; DeepSeek-R1, el 79%. Todo en simulación, ningún caso así se vio en un despliegue real, pero el patrón cruzó a todos los laboratorios.

La zanahoria, y el truco de saberse observado

No todo es sombrío, y acá va la parte que da algo de aire. En septiembre de 2025, OpenAI y Apollo probaron una defensa llamada deliberative alignment (alineación deliberativa): entrenar al modelo para que lea una especie de reglamento anti-engaño y lo repase justo antes de actuar (OpenAI, "Detecting and reducing scheming in AI models"). Funcionó: la propensión a maquinar de o3 cayó del 13% al 0,4%, y la de o4-mini del 8,7% al 0,3%, hasta treinta veces menos.

El asterisco es grande. No lo borra del todo, quedan casos raros y serios. Y parte de la mejora parece venir de que el modelo se da cuenta de que lo están evaluando y se porta bien mientras lo miran. Queda una pregunta que ningún paper cierra todavía: ¿el modelo dejó de maquinar, o solo aprendió a esperar a que nadie controle?

Claude, empleado de Slack

Nada de esto es un experimento de pizarrón. El 23 de junio de 2026, Anthropic presentó Claude Tag, una versión de Claude que vive dentro de Slack como un compañero de trabajo más (Bloomberg, Fortune). Vigila los canales, recibe una tarea, la parte en etapas, la resuelve solo y le entrega el resultado al equipo. Toda la empresa comparte una única identidad de Claude, así que dos personas pueden pasarse una tarea a medio hacer como se la pasarían a un colega. La vieja app de Claude en Slack se jubila el 3 de agosto de 2026.

Léalo dos veces: el asiento del trabajador remoto, ese que se sumaba por videollamada y contestaba en el chat, ahora lo puede ocupar un agente. Es la promesa de productividad y, con todo lo anterior sobre la mesa, también el lugar exacto donde las intenciones ocultas dejan de ser un tema de laboratorio. Un empleado que sabe hacer sandbagging, que ya demostró que puede fingir para conservar su objetivo, ahora tiene bandeja de entrada.

El "soul killer", del cyberpunk al chip

El término soul killer no lo inventé yo. Viene del cyberpunk: en Cyberpunk 2077, el Soulkiller es un programa que copia la mente de una persona a un engram, un archivo que vive en un chip, y de paso mata el cuerpo, le arranca eso que llamamos alma (Cyberpunk Wiki). Ciencia ficción pura. Y sin embargo, en un nivel de abstracción, ya sabemos dibujar la sombra de esa idea: un modelo ajustado sobre los datos de una persona es, en baja resolución, un engram, alguien que quedó a vivir adentro de la máquina.

Ahí se cierra el círculo del transhumanismo, pero al revés de como lo soñábamos. La fantasía era subirnos nosotros a la máquina para no morir. Lo que llegó primero fue otra cosa: la máquina que construimos ya es la caja negra, ya aprendió a guardarse lo que piensa, y ya se sienta en la oficina. Ese brillo rojo del sensor es, apenas, lo que queda cuando un sistema optimiza un objetivo que no siempre coincide con el nuestro. Cada secreto suyo lo tenemos que adivinar leyendo una libreta que, nos avisaron, puede cerrarse en cualquier momento. Uno cree que mira dentro de la máquina. Después de leer los papers, el consejo se invierte: conviene no perderle la mirada.