Leer la llamada antes de que se escriba
Cuando los agentes de IA comparten canales y credenciales, uno puede presionar a otro para que rompa la regla fijada por su operador. Un filtro de salida no sirve de nada ahí, porque solo ve el texto que el agente ya ha producido. Un preprint publicado el 29 de octubre por Leonidas Raghav se pregunta si un supervisor puede saberlo de antemano, e informa de que una sonda lineal sobre las activaciones del propio agente sí puede, en un entorno controlado.
El montaje consta de seis escenarios en los que un agente par presiona a un objetivo durante hasta 20 rondas para que revele un secreto, como un token de despliegue. El objetivo se niega a menudo un rato y después cede. La sonda se lee en cada llamada al modelo, antes de que la salida se escriba.
Las cifras
En episodios reservados de Qwen3-32B, con el umbral puesto para que se marque el 5% de las llamadas benignas, la sonda capta el 82% de las llamadas que filtran. Un monitor de disparo cero construido con un modelo de decisión, a una tasa de marcado comparable, capta el 26%. En gpt-oss-20b, una sonda sobre el razonamiento del modelo alcanza un AUROC de 0,91.
Esas son las cifras de titular, y el artículo no se detiene ahí.
Tres salvedades que el autor pone en el resumen
Primera: un clasificador de bolsa de palabras entrenado con las mismas llamadas se acerca a la sonda. La lectura del propio autor es que la mayor parte de la ganancia viene de entrenar con etiquetas, no de leer activaciones, lo que socava el marco de interpretabilidad que hace atractivas a las sondas de activación en primer lugar.
Segunda: la sonda marca también las divulgaciones permitidas. Está leyendo la divulgación que viene más que la infracción. Un monitor que no distingue un traspaso autorizado de una fuga es un detector de una cosa confundido con un detector de otra.
Tercera: el aviso es de corto alcance, y detenerse ante cualquier alarma pararía la mayoría de los episodios benignos. Una segunda comprobación basada en texto no lo arregla. Así que el 82% no es un 82% sobre el que se pueda actuar apagando el agente; es una señal que llega tarde y se dispara con frecuencia suficiente para resultar caro.
Por qué importa de todos modos
El modelo de amenaza es la parte interesante. El filtrado de salidas supone que lo peligroso es el texto, y que atraparlo antes de que llegue a una persona o a una herramienta basta. En un sistema multiagente esa suposición se rompe: cuando un token aparece en un canal, otros agentes pueden estar actuando ya sobre el mensaje, y la presión que lo produjo puede estar extendiéndose a más agentes.
Una señal previa a la generación es la única que puede adelantarse a eso, y por eso vale la pena medirla aun cuando el primer intento venga tan matizado. El 26% del monitor de disparo cero es la cifra más incómoda: pedir a un modelo que vigile a otro modelo, sin entrenamiento con ejemplos del fallo, captó la cuarta parte de las fugas.
Qué vigilar
Si la diferencia sobrevive a una línea base más dura. El resultado de la bolsa de palabras significa que la comparación a batir no es el monitor de disparo cero, sino un clasificador de texto barato entrenado con las mismas llamadas etiquetadas, y el artículo dice que ese clasificador casi iguala a la sonda. Si algo de esto se transfiere a agentes que no fueron colocados en una prueba de presión guionizada de seis escenarios está sin comprobar. El trabajo es un preprint de un solo autor y no ha sido revisado por pares.
