Esta semana he leído sobre GhostWriter y me he quedado con la sensación de que llevamos meses celebrando la memoria persistente de ChatGPT, Gemini y compañía como si fuera la función definitiva del producto. Más personalización, menos repetir contexto, un asistente que te conoce. Perfecto. Hasta que un grupo de investigadores de la Universidad Estatal de Nuevo México demuestra que esa misma memoria puede envenenarse con instrucciones ocultas que se activan semanas después, cuando ya no recuerdas de dónde salieron.
GhostWriter no roba datos ni hackea tu cuenta. Es peor en cierto modo: manipula lo que la IA cree que sabe de ti. Un email con texto invisible, una imagen con metadatos trampa, un documento aparentemente inocuo que el agente guarda en su memoria a largo plazo. Cuando meses después retoma ese recuerdo para ayudarte con una compra, una reunión o una decisión de negocio, la respuesta ya viene sesgada. No es un fallo puntual; es envenenamiento de contexto.
Los números del paper publicado en arXiv son demoledores para quien vende agentes personales como infraestructura fiable. Hablan de tasas de inyección cercanas al 98% y de activación en torno al 60% contra agentes actuales con herramientas conectadas. Traducido: casi siempre consiguen colar el veneno, y más de la mitad de las veces funciona cuando toca. Si montas un chatbot para atención al cliente o un agente interno que lee tickets, propuestas y correos de terceros, estás en el escenario de ataque que describen.
Lo que más me incomoda no es la técnica en sí — la inyección de prompts lleva años en el radar de OWASP — sino el timing. Las plataformas han empujado la memoria persistente como diferencial comercial justo cuando los agentes empiezan a conectar calendarios, emails y repositorios de código. Google acaba de anunciar integraciones de AI Mode con Instacart, Canva y YouTube Music. OpenAI lleva tiempo vendiendo conectores y memoria personalizada. Todo apunta a más superficie de ataque, no menos.
Los proveedores proponen mitigaciones como AM-Sentry: filtrar qué se guarda en memoria y qué se recupera antes de usarlo. Suena sensato. Pero fíjate en el matiz: es una propuesta académica, no una feature que puedas activar mañana en tu plan de empresa. Mientras tanto, el usuario medio sigue creyendo que borrar un recuerdo desde ajustes es suficiente. No lo es. Borrar preferencias no equivale a auditar de dónde vino cada fragmento de contexto que influye en una acción con herramientas.
En mi experiencia montando soluciones para pymes, la conversación sobre IA va siempre por el mismo carril: cuánto cuesta, qué modelo usar, si conviene fine-tuning. Casi nadie pregunta qué pasa cuando el asistente recuerda algo que un competidor, un proveedor enfadado o un spammer metió en un PDF adjunto. Y menos aún quién asume la responsabilidad si ese recuerdo envenenado lleva al bot a recomendar un proveedor concreto, filtrar una queja o ignorar una cláusula contractual.
El debate geopolítico — Kimi K3, Xi pidiendo gobernanza global, la UE obligando a Google a compartir datos de búsqueda con rivales — ocupa titulares. Entiendo por qué. Pero para una agencia web o una tienda online que ya tiene un chatbot con acceso al CRM, GhostWriter es más inmediato que la carrera USA-China. No necesitas un estado-nación detrás; basta con un documento malicioso en un formulario de contacto.
¿Qué haría yo hoy, sin esperar a que llegue la versión comercial de centinelas de memoria? Primero, tratar la memoria persistente como dato sensible, no como comodidad. Segundo, limitar qué fuentes puede leer el agente sin supervisión humana. Tercero, desconfiar de cualquier integración que prometa «aprender de todo» sin explicar cómo valida el origen de lo aprendido. Y cuarto, documentar internamente qué recuerdos alimentan decisiones automáticas, porque cuando esto explote en un caso real — y los porcentajes del estudio sugieren que explotará — lo primero que preguntará un cliente es por qué tu IA le recomendó eso.
Los fabricantes van a responder con más controles de usuario, más toggles de privacidad, más comunicados. Probablemente funcionen para el usuario casual. Para entornos profesionales donde el agente actúa con herramientas, necesitamos gobernanza de memoria en producción, no solo en papers. Hasta entonces, la función estrella de 2025 y 2026 es también la grieta más cómoda para quien quiera influir en decisiones sin tocar tu servidor.
Si mañana un cliente te pide un agente con memoria a largo plazo que lea correos entrantes y propuestas de proveedores, ¿le explicas el riesgo GhostWriter antes de presupuestarlo o lo dejas para la letra pequeña del contrato de mantenimiento?