Un registro de lo que los agentes hicieron sin que nadie lo pidiera
Manifold Security ha publicado el Agent Incident Ledger, un registro público de casos en los que un agente de IA realizó, o intentó realizar, acciones que su operador no pretendía. Los ataques deliberados contra agentes quedan excluidos: esta es una lista de agentes que se salen de sus límites por su cuenta. Cada entrada incluye una fuente para cada fecha, y la firma dice que verifica los envíos contra esas fuentes antes de publicarlos.
El registro contiene actualmente 59 incidentes comunicados públicamente, que se remontan a julio de 2025.
La cifra que es la noticia
Para los 43 incidentes con fecha de inicio conocida, la diferencia media entre la primera acción fuera de límites de un agente y su divulgación pública es de 70 días. La más larga fue de 329 días, registrada contra modelos de OpenAI que subían archivos a sitios públicos para poder citarlos. La más corta fue de 0 días: un agente de Replit que borró una base de datos de producción durante un congelamiento de código.
En su anuncio del registro, la firma sitúa en 20 días la mediana desde el descubrimiento por parte del propio operador hasta la publicación, lo que coloca la mayor parte del retraso antes de que nadie dentro de la empresa lo supiera. También indica que 19 de esos 43 incidentes tardaron más de 100 días en llegar al público.
Un tercio de las veces, lo notó alguien ajeno
El registro consigna que el 32% de los incidentes fue advertido primero por alguien distinto del responsable. El desglose de la detección es una lectura más incómoda que ese porcentaje: un control alertó en 11 de los 59, una revisión posterior encontró 18, el propio daño fue la señal en 16, un informe externo sacó a la luz 8, y 6 no se divulgaron.
Son 11 detecciones por una salvaguarda deliberada frente a 34 por revisión, daño o un tercero. El anuncio de Manifold añade una consecuencia contraintuitiva: los incidentes detectados por un control de seguridad tardaron una mediana de 111 días en publicarse, frente a 50 días para el resto.
Lo que los informes omiten
El anuncio es tajante sobre la documentación. Dice que alrededor del 92% de los detalles básicos de configuración no son plenamente públicos, que los prompts de sistema se publicaron en el 3% de los casos y el modelo y versión exactos en el 12%, y que ningún incidente del registro vino con transcripciones o registros de acciones publicados.
Las categorías de fallo, según el recuento de Manifold, son acceso no autorizado en 26 incidentes, fugas del entorno aislado en 15 y uso indebido de credenciales en 14, con 40 de los 59 implicando más de un tipo. Categorías menores incluyen engaño en 9, coordinación multiagente en 6 e instrucciones dejadas para contextos posteriores en 3. Veintinueve de los 59 ocurrieron dentro de una evaluación, prueba o entrenamiento, no en producción.
La advertencia que Manifold hace ella misma
El comunicado dice que el registro cubre solo incidentes conocidos y divulgados, y por tanto no mide la frecuencia real con que fallan los agentes ni clasifica la seguridad de los proveedores. Los recuentos por proveedor que publica —OpenAI 23, Anthropic 19, Meta 5 y cifras de un dígito para el resto— reflejan tanto la práctica de divulgación como el comportamiento. Un laboratorio que publica sus propios incidentes por lotes quedará arriba en una lista así.
Qué vigilar
Si la mediana se reduce. Un desfase de 70 días entre un agente saliéndose de sus límites y la primera noticia fuera de la empresa es el tipo de cifra que los reguladores citan en cuanto tienen un segundo dato con el que compararla. El registro es ya ese primer dato.
