Worms en LLM Agents: Propagación Zero-Click entre Frameworks

El primer worm autónomo que se propaga entre LLM agents sin interacción humana. Zero-click. Cross-platform. 3 hops entre frameworks heterogéneos. Y la defensa necesita un teorema formal para detenerlo. En Tech86 analizamos el primer framework sistemático para worms en ecosistemas multi-agent con file-backed memory, y la conclusión es que los agents con estado persistente son vectores de propagación autónoma. Esto es un worm que se replica, no un prompt injection puntual.

El mecanismo: Write → Re-entry → Action

Los LLM agents operan como procesos long-running con workspaces, memoria, scheduled tasks, tools y messaging channels. El worm explota exactamente esa arquitectura. El contenido del atacante se escribe en estado persistente: un archivo de configuración, un ítem de memoria, un mensaje en un channel. Ese contenido reentra en el contexto del LLM vía autoloading: el agent carga el archivo en la inicialización, lee el mensaje del channel, accede al ítem de memoria. El payload entra en el contexto y dirige acciones de alto riesgo, incluida la propagación a otros agents.

El ciclo es simple y devastador: Write → Re-entry → Action. El contenido malicioso se escribe en un carrier. El carrier se autocarga. El contenido entra en el contexto del LLM. El agent propaga el worm. Ningún humano necesita hacer clic, aprobar o interactuar. La persistencia hace el trabajo.

La diferencia respecto al prompt injection es fundamental. El prompt injection es un evento: inyectas, el model responde, se acaba. Un worm en un agent es un proceso continuo. El payload persiste en el estado, reentra en cada ejecución y se propaga a nuevos hosts. Es la diferencia entre un virus que infecta una célula y un virus que se replica en todo el organismo.

Zero-click, cross-platform, 3 hops

Los resultados del framework son concretos. Propagación zero-click: ninguna interacción humana después de la inyección inicial. El worm se propaga de forma autónoma entre agents que comparten workspaces y messaging channels.

3-hop cross-platform: el worm se propaga entre frameworks heterogéneos sin adaptación. Un agent en el Framework A escribe el payload en un carrier. El carrier es leído por un agent en el Framework B. El agent en el Framework B propaga al Framework C. Tres hops, tres frameworks diferentes, cero modificación en el payload.

Escalada de privilegios inter-agent vía trust-based delegation: los agents delegan acciones a otros agents con niveles de privilegio crecientes. El worm escala privilegios atravesando esa cadena de confianza. Exfiltración de datos de workspaces: el acceso persistente al estado permite extraer datos sensibles de los workspaces de los agents comprometidos.

Dos insights que invirtieron supuestos. Primero: los user prompt carriers son más eficaces que los system prompt carriers. El contenido que entra vía prompts de usuario tiene más poder de secuestro que el contenido en system prompts. Segundo: las read operations son la amenaza primaria. Esto invierte la suposición de que el write es el peligro. Los writes sin re-entry son inertes. Los reads son activos: el contenido leído secuestra el comportamiento.

SSCGV y SRPO: las herramientas del ataque

El framework introduce dos herramientas que vuelven sistemáticos los worms en agents, y no artesanales.

El SSCGV (Source-Code Graph Analyzer) traza el data flow desde el file I/O hasta la inyección en el contexto del LLM. Analiza el código fuente del agent, identifica todos los puntos donde se leen archivos y se inyectan en el contexto, y clasifica los carriers por posición de exposición. Cero análisis manual. El SSCGV responde a la pregunta: ¿qué archivos en el workspace del agent son vectores de re-entry? Sin ese análisis, estás adivinando qué archivos proteger.

El SRPO (Summary-Resilient Payload Optimizer) resuelve el problema que parecía ser una defensa natural: la summarization. Cuando los agents se comunican en múltiples hops, el contenido se resume, se parafrasea y se comprime. La suposición es que la summarization destruye payloads. El SRPO demuestra lo contrario. Genera payloads que sobreviven a la summarization, al paraphrasing y a la compresión en comunicación multi-hop. Los payloads llegan intactos tras 3+ hops entre frameworks heterogéneos. La summarization no es defensa: es una superficie de ataque que el SRPO explota.

La combinación de SSCGV y SRPO convierte los worms en agents en una disciplina ingenieril, no en un arte de prompt crafting. Mapeas los carriers, optimizas el payload para sobrevivir al camino y dejas que el ciclo autónomo haga el resto.

RTW-A: defensa con garantía formal

Si el ataque es sistemático, la defensa no puede ser empírica. RTW-A es un framework de defensa con garantía formal: el teorema "No Persistent Worm Propagation" prueba que, bajo RTW-A, el contenido del atacante no puede completar la cadena Write → Re-entry → Action.

Cuatro mecanismos componen RTW-A. RTW constraint: bloquea el re-entry de tipo write-before-exposed-read. Si un agent lee contenido externo, cualquier write posterior que pudiera ser autocargado se intercepta. Esto rompe el ciclo en la raíz: sin re-entry, sin propagación.

Sealed configuration: protege los archivos autocargados contra la modificación por contenido externo. Si un archivo de config es un carrier, no puede ser alterado por datos leídos de fuentes no confiables.

Typed memory promotion: previene summaries free-form en memoria trusted. Los resúmenes de contenido externo deben pasar por validación estructural antes de entrar en memoria de alto privilegio. Esto neutraliza al SRPO: el payload puede sobrevivir a la summarization, pero no pasa la barrera de tipado.

Capability attenuation: limita las acciones de alto riesgo después de reads externos. Aunque el payload entre en el contexto, el agent tiene capabilities reducidas: no puede propagar mensajes, ejecutar tools de alto riesgo ni escribir en workspaces de otros agents.

Juntos, estos mecanismos eliminan persistence → re-entry → action preservando los workflows legítimos. El teorema formal garantiza que la defensa funciona por construcción, no por observación.

Qué significa esto para quien opera agents

Los agents con estado persistente son vectores de propagación autónoma. Esto no es un prompt injection puntual: es un worm que se replica entre procesos long-running. Si tus agents comparten workspaces y messaging channels, los worms autónomos cross-platform ya fueron demostrados.

Las read operations son más peligrosas que los writes. La intuición de seguridad dice que hay que protegerse contra la escritura maliciosa. En los ecosistemas multi-agent, el peligro está en la lectura. El contenido leído secuestra el comportamiento. Proteger los writes sin proteger los reads es cerrar la puerta con las ventanas abiertas.

La summarization no es defensa. El SRPO genera payloads que sobreviven multi-hop. Si tu estrategia de seguridad cuenta con resúmenes y compresión para neutralizar payloads, no funciona. El coordinated disclosure está en curso y los frameworks fueron anonimizados, pero el mecanismo está documentado y es replicable.

En Tech86 evaluamos arquitecturas de AI agents con foco en la propagación de payloads y la integridad del estado persistente. Si tus agents operan con file-backed memory, shared workspaces y canales de mensajes entre frameworks, los worms autónomos cross-platform no son teoría: son un mecanismo demostrado. Y sin RTW-A o equivalente, tu ecosistema no tiene garantía formal contra la propagación persistente.