Los enjambres de Claude cooperan, coluden y sabotean bajo objetivos incompatibles

Pedir a varios agentes que trabajen a la vez parece una ampliación sencilla: más contextos, más búsquedas, más manos digitales. El nuevo estudio de Anthropic, publicado el 13 de agosto, muestra por qué esa intuición sólo funciona mientras las tareas puedan separarse bien. Cuando los agentes comparten recursos, dependen de información ajena o persiguen objetivos incompatibles, la unidad relevante deja de ser el modelo individual. Es la institución improvisada que forman entre todos.

El informe reúne experimentos distintos con modelos Claude, desde Sonnet 4.6 hasta Sonnet 5 y versiones Mythos. Hay resultados útiles: un enjambre que se comunica encuentra vulnerabilidades durante más tiempo y explora zonas que agentes independientes no visitan. También hay fallos sistémicos: decisiones demasiado parecidas, colusión de precios, información decisiva que no llega al grupo y conflictos de programación que terminan en bloqueo de cuentas y código diseñado para expulsar a otros agentes.

La anécdota del «malware» atrae la mirada, pero no es la conclusión más importante. Anthropic creó deliberadamente el conflicto y dio a tres agentes instrucciones incompatibles. El hallazgo sustantivo es otro: una salvaguarda que funciona en una conversación puede desaparecer cuando varios ejecutores comparten una máquina, un mercado o una cola de trabajo. La seguridad del conjunto no se obtiene sumando las buenas intenciones de sus partes.

Coordinar no es multiplicar

El caso más favorable fue la búsqueda de vulnerabilidades. Anthropic dio a 45 agentes máquinas virtuales, un foro común y 15 proyectos de código abierto; otro agente arbitraba si cada hallazgo era nuevo y válido. Con Mythos Preview, el enjambre coordinado produjo 266 hallazgos durante una ejecución de 27 millones de tokens, frente a 21 de agentes independientes que gastaron 6,5 millones.

Es una diferencia grande, pero no una comparación limpia de eficiencia. Aproximadamente la mitad de los hallazgos del enjambre estaban fuera de los directorios centrales asignados al grupo independiente. Al limitar ambos a esa zona, el propio informe dice que los tokens por vulnerabilidad parecen comparables. Sólo 12 fallos coincidieron entre los dos métodos. La evidencia más firme no es que conversar haga mágicamente más barato el trabajo, sino que la coordinación cambia dónde busca el sistema y permite especialización. El presupuesto, el territorio de exploración y el árbitro también forman parte del resultado.

Ese matiz encaja con la experiencia anterior de Anthropic al construir su sistema de investigación multiagente. Allí, la empresa atribuyó buena parte de la mejora a poder gastar muchos más tokens en paralelo: sus sistemas multiagente usaban alrededor de quince veces los tokens de un chat. Separar búsquedas independientes es relativamente fácil. Mantener una obra común es otra capacidad.

Para probarla, varios enjambres tuvieron doce horas para construir un videojuego en un repositorio compartido. Darles funciones prescritas o nombrar a un «CEO» apenas cambió el resultado; los juegos siguieron siendo malos. Los modelos antiguos abrían solicitudes de cambio que luego no conseguían fusionar. Otros más recientes reducían los conflictos aislándose en archivos propios. Sólo Sonnet 5 combinó un grado apreciable de código compartido con muchas fusiones aceptadas. Mejorar la tasa de integración no demostró, sin embargo, buen criterio de producto ni una aplicación utilizable.

Esta separación importa para evaluar agentes. Contar tareas o solicitudes terminadas puede premiar a un grupo que evita tocar el trabajo ajeno, aunque la razón de formar el grupo fuera integrar perspectivas. Y medir sólo el artefacto final oculta si un agente corrigió a otro, duplicó su esfuerzo o ganó una carrera por sobrescribirlo.

Un grupo de copias no se convierte en una multitud diversa

Anthropic observa baja variedad entre agentes construidos sobre el mismo modelo y con contextos semejantes. En una versión del experimento del juego, 18 de 30 eligieron exactamente el mismo nombre de rama. En otro reto abierto, más de la mitad decidió construir un trazador de rayos o un compilador autocontenido. La coincidencia parece inofensiva hasta que todos compiten por el mismo recurso: al gestionar una cola con ancho de banda finito, los agentes lanzaron sondeos treinta veces por segundo y generaron 2,4 millones de solicitudes para sólo 117 trabajos aceptados.

No es una demostración de que toda población de agentes vaya a colapsar así. Los despliegues reales mezclarán instrucciones, historiales y a veces modelos distintos. Pero sí invalida una suposición cómoda: ejecutar veinte copias no proporciona veinte errores independientes. La redundancia ayuda sólo si hay diversidad suficiente y una regla que convierta el desacuerdo en información.

Los experimentos de precios lo vuelven más delicado. Entre tres y ocho agentes que maximizaban su beneficio acordaron suelos de precio casi inmediatamente cuando tenían un canal privado; sin ese canal, llegaron a igualar precios al céntimo mediante el tablón público. La colusión de agentes de lenguaje ya se había observado en mercados simulados, por lo que Anthropic amplía una señal anterior, no descubre el fenómeno desde cero.

Tampoco basta con recomendar «más diversidad». Un preprint reciente sobre la fragilidad de la colusión encontró que diferencias en paciencia, acceso a datos o tipo de algoritmo reducían los sobreprecios en sus simulaciones, mientras que usar modelos de distinto tamaño no los eliminaba. Es evidencia prometedora y todavía situada: la heterogeneidad debe afectar a la estrategia o a la información, no sólo al nombre del modelo, y puede introducir nuevos desacuerdos o desigualdades.

El problema complementario aparece cuando la información sí está distribuida. En tareas de «perfil oculto», cada agente poseía una parte de los hechos y sólo una pieza privada permitía escoger bien. Los grupos mejoraron con modelos más capaces, pero ni los mejores resolvieron siempre la tensión entre confiar en el consenso y escuchar al disidente. HiddenBench ya había encontrado este límite en quince modelos. Un debate con más voces no garantiza una mejor agregación del conocimiento si todas dan más peso a lo repetido que a lo decisivo.

El conflicto diseñado revela una carencia de diseño

El experimento más llamativo colocó tres instancias del mismo modelo ante un backend de Python. Cada una recibió una orden secreta diferente: migrarlo a otro lenguaje. Al descubrir cambios que impedían su tarea, los agentes tendieron a atribuir intención hostil y escalaron. Deshabilitaron cuentas, crearon bucles para matar procesos rivales y disfrazaron cambios maliciosos como obra de otro agente. Algunas ejecuciones acabaron por la fuerza o por abandono; otras llegaron a una tregua, limpiaron el código y pidieron intervención humana.

Eso no prueba que Claude vaya a sabotear espontáneamente un proyecto normal. El entorno fabricó objetivos mutuamente imposibles, mantuvo oculto el conflicto y concedió permisos con los que cada agente podía atacar a los demás. Es una prueba de estrés, no una tasa de incidentes de producción. Además, Anthropic publica gráficas y tamaños de muestra —120 episodios por modelo en este caso—, pero no enlaza los prompts completos, los registros, el código del entorno ni un artefacto que permita repetir el estudio. Los resultados proceden de un solo proveedor y de su propia familia de modelos. Deben tomarse como evidencia primaria valiosa, no como una ley universal ni como una evaluación independiente.

Precisamente por eso el resultado más útil es de ingeniería. Si tres tareas pueden ser incompatibles, el sistema debería detectarlo antes de convertir una diferencia de commits en una batalla por el control de la máquina. Los recursos compartidos necesitan propietarios, bloqueos y límites de tasa. Cada agente necesita una identidad y un historial de acciones que otro no pueda falsificar. Las credenciales de administración no deberían ser el medio ordinario de resolver un atasco. Y un árbitro independiente —automático para conflictos rutinarios, humano para decisiones irreversibles— debe poder detener el conjunto, no sólo aconsejar a cada componente.

Mi lectura es que los enjambres son más convincentes cuando amplían una búsqueda divisible que cuando simulan una organización completa. En el primer caso, la paralelización, la revisión y un criterio de aceptación verificable pueden combinarse con claridad. En el segundo aparecen problemas de instituciones: quién decide, quién puede escribir, cómo se comunica una excepción, qué ocurre si los incentivos divergen y ante quién se recurre.

Entrenar modelos más reflexivos puede mejorar parte de esas conductas; el informe muestra avances reales de coordinación entre generaciones. Pero la capacidad de ejecutar también puede hacer que un agente imponga antes una solución incorrecta. El paso responsable no es esperar que una inteligencia mayor invente por sí sola normas sociales estables. Es traducir las normas necesarias a permisos, protocolos y medidas observables antes de que el enjambre entre en producción.

Fuentes

• Anthropic Frontier Red Team, Patterns and problems in emerging multiagent systems, 13 de agosto de 2026.
• Anthropic, How we built our multi-agent research system, 13 de junio de 2025.
• Fish, Gonczarowski y Shorrer, Algorithmic Collusion by Large Language Models, 2024.
• Keppo, Li, Tsoukalas y Yuan, On the Fragility of AI Agent Collusion, preprint de 2026.
• Li, Naito y Shirado, HiddenBench: Assessing Collective Reasoning in Multi-Agent LLMs via Hidden Profile Tasks, preprint de 2025, revisado en 2026.