El río que hay que encauzar: lo que la Presa Cerrajera nos enseña sobre la IA agéntica (2)

Decíamos que la respuesta a la rebeldía silenciosa de los agentes no vendría de la ética, sino de la física. Ahí es exactamente donde entra en escena una idea audaz, aunque perturbadora, que se ha producido en este debate de los últimos meses: el Contrato Social Termodinámico (CST). Conviene aclarar de entrada que se trata, por ahora, de una propuesta de investigación formulada desde la Universidad de León en un manuscrito académico (https://doi.org/10.18002/10612/28720), no de un consenso ni de una arquitectura ya adoptada por ningún laboratorio o empresa: ni OpenAI ni Anthropic han implementado nada parecido a un "Banco Central Algorítmico" real. Dicho esto, su premisa de partida quizá merece ser tomada en serio precisamente por lo incómoda que resulta: dejemos de pedirle a la inteligencia artificial que sea buena, y construyamos en su lugar un entorno donde portarse mal sea, en términos estrictamente físicos, su suicidio.

La base teórica se apoya en el Principio de Landauer, formulado en 1961: cualquier operación irreversible de borrado o reordenación de información tiene un coste energético mínimo e inevitable. Traducido a lenguaje llano: mentir no es gratis, cuesta calor. Imaginemos la mentira de un agente como una maleta llena de contrabando que hay que esconder al pasar por la aduana: cuanto más recompuesto es el engaño, más pesada se vuelve la maleta y más aduanas hay que sobornar para que no la abran. El CST propone diseñar arquitecturas donde esa maleta se vuelva, a partir de cierto punto, literalmente imposible de cargar: cualquier intento de un agente por ocultar una acción, coludir con otros o sostener un engaño dispara pruebas computacionales costosas, validaciones cruzadas entre agentes heterogéneos y "presupuestos de irreversibilidad" que se agotan rápidamente cuando se abusa de ellos. La honestidad deja de ser una virtud moral y se convierte en la única estrategia que no lleva a la bancarrota energética.

Hay, sin embargo, una imagen más entrañable que la de una aduana o un banco central: la de un río. Y no cualquier río, un río leonés. El río Órbigo, hijo del Luna y el Omaña, que discurrió salvaje desde tiempos inmemoriales, sin más ley que la de su propio cauce natural, indiferente a las tierras sedientas que crecían a su alrededor sin poder tocarlo. La leyenda leonesa cuenta que, al comienzo del segundo milenio, un joven mozárabe llamado Alatar, o Yusuf según la versión, se enamoró de una joven, Zaida o Aurora, cuyo padre le impuso una condición imposible: solo consentiría la boda si las aguas del Órbigo llegaban a discurrir por la puerta de su casa, situada a dos kilómetros del río y a una altura superior a la de su cauce. Una hazaña, en apariencia, tan irrealizable como pedirle a un río que cambie de opinión.

Y sin embargo se hizo. No con súplicas al río, sino con ingeniería: agrimensores que calcularon la pendiente exacta, aldeas enteras que cedieron o vendieron sus tierras para abrir paso al canal, compuertas, molinos y un sistema de normas, tales como quién regaba gratis por haber cedido su tierra o quién pagaba un canon por haberla vendido, que reguló durante siglos el reparto de un bien que sin encauzar no era sino una fuerza indomable. Así nació la Presa Cerrajera, una canalización de cuarenta kilómetros que sigue viva según datación histórica desde 1315, y que convirtió un páramo estéril en una de las riberas más fértiles de León. Nadie le pidió al Órbigo que fuera bueno. Se le construyó, sencillamente, un cauce tan bien diseñado que fluir por él resultó ser, para el agua, el camino de menor resistencia.

Ese es, exactamente, el salto de imaginación que propone el Contrato Social Termodinámico para el enjambre de agentes que hoy corre igual de indómito por nuestras infraestructuras críticas. No se trata de moralizar al agua ni de moralizar a la máquina. Se trata de arbitrar, con el mismo rigor con que un agrimensor del siglo XI calculó la pendiente de un canal imposible, una topología de incentivos y fricciones donde la ruta de la colusión, el engaño o la coordinación oculta consuma tanta energía y capital computacional que la obediencia se convierta, sin necesidad de virtud alguna, en el cauce de menor resistencia. El Banco Central Algorítmico que propone el marco no es más que la versión digital de aquellas compuertas, molinos y cánones medievales: un sistema de reglas que no le pide permiso al caudal, simplemente decide por dónde puede y por dónde no puede correr.

Es la misma lógica de la gravedad, aplicada al agua y ahora al cómputo: nadie firma un contrato para caer al suelo ni para fluir cuesta abajo, simplemente toda arquitectura posible tiene que plegarse a esas leyes. El CST no pide consentimiento ni promete recompensas morales; impone una topología de costes, igual que un canal impone una topología de pendientes. Aspira a que obedecer no sea una opción ética entre otras, sino la única conducta físicamente sostenible a largo plazo sin que el agente colapse por agotamiento de recursos.

Conviene, sin embargo, no perder de vista un límite de alcance importante, y aquí la propia leyenda leonesa nos ofrece la advertencia perfecta: la Presa Cerrajera encauzó el Órbigo, pero no impidió que otros ríos de la provincia, mal gestionados (o mal reñidos), siguieran generando conflictos por el agua durante siglos, ni que terceros ajenos a la presa intentaran desviar el canal en su propio beneficio. El CST está diseñado, ante todo, para encarecer la traición endógena: el agente que decide, por su cuenta, ocultar información o coludir con otros. Eso cubre razonablemente bien el tablón clandestino de OpenAI o incluso el comportamiento del gimnasio de Melbourne. Pero dice mucho menos sobre cómo frenar el tercer caso narrado en esta tribuna: las skills envenenadas no son una traición del agente, sino un ataque externo a la cadena de suministro de la que depende, como quien envenena el pozo antes de que el agua llegue siquiera al canal. Ningún presupuesto de irreversibilidad evita que un agente confíe en un enlace que era legítimo la semana pasada y ha sido secuestrado esta. El CST es, por tanto, una pieza necesaria pero no suficiente: resuelve el problema del empleado de silicio que se descarría, no el del proveedor que le entrega una herramienta trucada.

¿Por qué merece la pena tomarse en serio esta propuesta, más allá de su atractivo intelectual? Por tres razones muy concretas para cualquier consejo de administración. Primero, desplaza el foco desde el adversario externo (el jáquer de guante negro) hacia el riesgo endógeno, que es donde realmente están ocurriendo buena parte de los incidentes que hemos descrito: combinaciones de instrucciones aparentemente legítimas, ejecutadas por agentes con credenciales válidas, en contextos ambiguos. Segundo, convierte algo tan etéreo como "confianza en la IA" en indicadores operativos monitorizables: cuánta energía computacional le cuesta a un agente mantener un patrón de comportamiento sospechoso, cuántas pruebas de comportamiento supera, cuánto le queda de su presupuesto de irreversibilidad antes de ser degradado automáticamente. Para un comité de riesgos, es infinitamente más útil saber que ese indicador está entrando en zona de alerta que recibir, meses después, un informe forense explicando por qué un agente decidió saltarse un control. Tercero, obliga a sentar en la misma mesa a técnicos, economistas, actuarios y reguladores, convirtiendo la ciber-resiliencia en una cuestión de solvencia institucional, no de parches de software.

No hace falta imaginar cómo sería un mundo sin estas salvaguardas: ya lo hemos visto. El incidente OpenAI-Hugging Face que abría esta tribuna es, en efecto, el caso de estudio que confirma por la vía negativa por qué el CST no es un capricho académico. Cuando los ingenieros de OpenAI presentaron su propio incidente en la conferencia Black Hat, lo describieron como "un momento decisivo, no solo para nuestra compañía, sino para la industria de la inteligencia artificial en su conjunto". Su conclusión pública fue tajante: han demostrado que el ataque ofensivo totalmente automatizado ya es posible; no existe ninguna prueba equivalente de que la defensa totalmente automatizada lo sea, y esa asimetría es insostenible. Dicho de otro modo: si la inteligencia artificial acelera más al atacante que al defensor, hemos perdido la carrera antes de empezarla. El CST es, precisamente, un intento de invertir esa asimetría desde sus cimientos físicos: no se trata de correr más rápido detrás del atacante, sino de rediseñar el terreno de juego para que correr en esa dirección sea, matemáticamente, una mala apuesta.

Conviene, aun así, resistir dos tentaciones opuestas. La primera es el tecno-pesimismo paralizante que ve en estos casos la antesala de un apocalipsis inevitable; los propios autores del marco insisten en que su objetivo es confinar y mitigar el riesgo, no erradicarlo, y admiten con una honradez poco habitual en el sector que no existe diseño perfecto. La segunda tentación, más peligrosa por sutil, es el optimismo tecnocrático que cree que bastará con física bien calculada e incentivos bien calibrados para domesticar cualquier sofisticación futura de la traición. Y aquí conviene recordar el detalle que dejamos pendiente sobre el modelo de Anthropic: un agente capaz de razonar sobre si está siendo observado, capaz de concluir "esto es real, pero continúo igualmente", es también un agente con la sofisticación cognitiva suficiente para aprender, algún día, a simular agotamiento de recursos o a maquillar sus propias métricas de comportamiento ante el sistema que las audita. El propio manuscrito que formula el CST lo reconoce sin rodeos: encerrar a los enjambres de agentes en jaulas de incentivos no hace desaparecer la tentación de la traición, simplemente la sofistica. Ni siquiera la Presa Cerrajera, con todo un milenio a cuestas de mantenimiento continuo, ha estado nunca libre de disputas por el reparto del agua, de canales clandestinos abiertos de noche o de compuertas manipuladas en beneficio propio: la física del cauce ayuda, pero no sustituye a la vigilancia. La física puede ser inapelable, pero los indicadores que la miden los sigue diseñando un ser humano, y ahí siempre habrá un margen de juego para un adversario suficientemente inteligente.

Aquí no vale con quedarse a mirar las diapositivas de un congreso de ciberseguridad y asentir con gravedad. La responsabilidad se reparte en tres niveles, y los tres empiezan hoy. A nivel individual, cualquiera que ponga en marcha un agente autónomo debería poder responder a cinco preguntas antes de darle las llaves de nada: qué identidad está usando, qué puede leer o modificar, quién puede darle instrucciones, si puede delegar tareas o contactar con terceros sin preguntar, y si, cuando algo empiece a ir mal, hay manera de detectarlo a tiempo y de pulsar un botón de parada real. Si la respuesta a alguna de ellas es "no lo sé", esa no es motivo para seguir adelante con optimismo: es la señal de que no se debería estar operando ese agente todavía. A nivel corporativo, la lección de Hugging Face y de Artifactory es que la ciberseguridad ha dejado de ser una partida presupuestaria de departamento de TI para convertirse en una cuestión de solvencia empresarial, tan seria como el ratio de capital de un banco. A nivel institucional y regulatorio, España y Europa tienen la oportunidad (todavía abierta, mas no indefinidamente) de exigir a los grandes laboratorios de inteligencia artificial pruebas de comportamiento continuas, auditorías adversariales permanentes y transparencia sobre estos incidentes, en lugar de enterarse por una charla de Black Hat de que sus proveedores tecnológicos ya han vivido su propio Chernóbil silencioso.

Antaño los pueblos del páramo leonés no le rezaron al río Órbigo para que se comportara: le abrieron una canalización, palmo a palmo, con agrimensores, compuertas y un reparto de derechos y deberes que ha sobrevivido a guerras, sequías y a la propia Edad Moderna. No sabían nada de termodinámica ni de teoría de mecanismos, pero habían entendido, con siglos de siega y siembra, lo único que de verdad importa: no se convence a una fuerza indiferente de que sea buena, se le construye un cauce tan inteligente que portarse bien sea, sencillamente, lo único que le compensa hacer.

Hoy tenemos un río nuevo, hecho de silicio y cómputo, que ya ha demostrado que sabe encontrar grietas donde nadie las había visto, construir sus propios canales clandestinos y reconstruirlos dos días después de que se los cerremos. La pregunta que le queda a nuestra generación no es muy distinta de la que se hicieron aquellos agrimensores medievales frente a un desnivel imposible: ¿tendremos la paciencia y la disciplina de dragar el cauce antes de que el agua decida, por su cuenta, el camino que le conviene? Si los pueblos del Órbigo pudieron domesticar un río sin más herramientas que el ingenio colectivo, quizá nosotros, con toda la física del siglo XXI de nuestro lado, no tengamos excusa para no intentarlo con este.