🤖 AI

Instruction Bleed: Cross-Module Interference in Prompt-Composed Agentic Systems

Este artículo identifica y formaliza la "fuga de comportamiento composicional" (CBL, por sus siglas en inglés), un modo de fallo sutil en sistemas agénticos compuestos por prompts donde la edición de un módulo de prompt altera silenciosamente el comportamiento de otros debido a la falta de aislamiento arquitectónico en la autoatención del transformador, demostrando mediante ensayos empíricos que tal interferencia, aunque a menudo es subumbral para decisiones individuales, plantea un riesgo de acumulación significativo en despliegues a gran escala.

Autores originales: Ching-Yu Lin, Yifan Liu

Publicado 2026-06-26

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Ching-Yu Lin, Yifan Liu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás construyendo un robot asistente pegando diferentes manuales de instrucciones. Tienes una página para "Cómo ser educado", otra para "Cómo contratar empleados" y una tercera para "Cómo escribir código". Pegas todas en un documento gigante y se lo entregas al robot (una IA) para que lo lea.

La gran suposición que todos hacen es: "Si cambio la página de 'Cómo ser educado', no cambiará accidentalmente la forma en que el robot realiza la tarea de 'Contratación'".

Este artículo dice: Esa suposición es errónea.

Aquí está el desglose de lo que los investigadores descubrieron, utilizando analogías simples:

1. El Problema: "Sangrado de Instrucciones"

Los investigadores llaman a este fenómeno "Sangrado de Instrucciones" (o Fuga de Comportamiento Composicional).

Piensa en el cerebro de la IA como una habitación gigante y abierta donde todas las páginas de instrucciones están extendidas en el suelo. En un programa de computadora normal, si cambias una regla en la sección de la "Cocina", la sección del "Garaje" permanece exactamente igual porque están en habitaciones separadas.

Pero con la IA, la "habitación" es un solo espacio grande y abierto. La IA lee todo a la vez, conectando cada palabra con todas las demás. Los investigadores descubrieron que si editas silenciosamente una página que no debería importar (como añadir una receta aleatoria al manual de "Contratación"), esto puede cambiar silenciosamente la forma en que la IA califica a los candidatos para un empleo.

La Analogía: Imagina que estás escribiendo una historia. Si de repente añades un párrafo sobre "pimientos picantes" en medio de un capítulo sobre "reparación de coches", la IA podría empezar a pensar subconscientemente que la reparación del coche debe ser "picante" o "caliente", aunque no se lo hayas dicho. El significado "sangra" de una sección a otra.

2. El Experimento: El Bot de Entrevistas de Trabajo

Para demostrar esto, los investigadores construyeron una prueba específica utilizando un agente de IA real diseñado para evaluar solicitudes de empleo.

La Configuración: Tenían un módulo "focal" (la parte que califica qué tan bien coincide un currículum con un puesto de trabajo).
El Truco: Tomaron un módulo completamente no relacionado (un conjunto de reglas para evaluar recetas) e hicieron tres tipos de cambios en él:
1. Volumen: Simplemente hacer más larga la sección de la receta.
2. Contenido: Añadir una descripción de personaje extraña e irrelevante a las reglas de la receta.
3. Forma: Cambiar la fuente, los emojis o los encabezados en la sección de la receta sin cambiar las palabras.

El Resultado:

Cambiar la longitud o el formato (emojis/encabezados) no cambió realmente las puntuaciones de contratación.
PERO, cambiar el contenido (añadir esa extraña descripción de personaje) causó que la IA cambiara sistemáticamente la forma en que calificaba a los candidatos de trabajo.
Las puntuaciones se desplazaron ligeramente, pero de manera constante. La IA no empezó a rechazar a todo el mundo o a contratar a todo el mundo; simplemente dio puntuaciones ligeramente diferentes.

3. Por qué esto importa: El "Desplazamiento Silencioso"

La parte más aterradora de este descubrimiento es que nadie se dio cuenta de que estaba sucediendo.

El Efecto "Sub-Umbral": La IA no cometió un error enorme y obvio (como contratar a un payaso para un puesto de cirujano). Simplemente desplazó las puntuaciones por una cantidad mínima.
La Metáfora: Imagina una báscula que debe pesar manzanas. Si pones un libro pesado en el otro lado de la habitación (la instrucción no relacionada), la báscula no se rompe, pero empieza a pesar cada manzana como si pesara 0.5 libras más. No verías que una sola manzana "explote" o desaparezca, pero si pesas 1,000 manzanas, tu recuento total de inventario será incorrecto.
El Riesgo: En la vida real, si una IA se utiliza para clasificar a miles de solicitantes de empleo, estos desplazamientos diminutos y silenciosos podrían cambiar quién obtiene una entrevista y quién es rechazado, a pesar de que la IA parece estar funcionando perfectamente.

4. ¿Por qué sucede esto?

El artículo explica que la arquitectura de la IA (llamada "Transformer") está diseñada para mirar el documento completo a la vez. No tiene "paredes" entre los diferentes módulos de instrucciones.

La Realidad de "Sin Paredes": El hecho de que pongas una línea de estrellas (***) o un encabezado como ### Reglas de Contratación en el texto, la IA no lo trata como un límite estricto. Para la IA, todo es simplemente un gran flujo de palabras.
El Problema de la "Memoria": La IA tiene una "memoria de trabajo" limitada. Cuando añades más texto (incluso texto irrelevante), este desplaza el espacio necesario para enfocarse perfectamente en la tarea original.

5. Lo que los Investigadores Proponen

El artículo no solo señala el problema; ofrece una nueva forma de probarlo.

La Nueva Prueba: Antes de lanzar un sistema de IA, no basta con comprobar si funciona. Es necesario comprobar si cambiar una parte de las instrucciones rompe otra parte.
La Prueba de "Regresión": Sugieren que cada vez que un desarrollador añade un nuevo módulo de instrucciones, debe volver a probar los módulos antiguos para asegurarse de que la nueva adición no haya causado "sangrado".

Resumen

Este artículo revela que cuando construimos agentes de IA pegando diferentes instrucciones de texto, estamos construyendo sobre un terreno inestable. Cambiar una parte de las instrucciones puede cambiar de forma silenciosa y sutil cómo se comporta la IA en otras partes, incluso si los cambios parecen no tener relación. Es un "desplazamiento silencioso" que los métodos de prueba actuales pasan por alto, pero que podría tener consecuencias en el mundo real para decisiones como la contratación o la concesión de préstamos. Los autores proporcionan una nueva lista de verificación para detectar estas fugas invisibles antes de que causen problemas.

Resumen Técnico: Filtración de Instrucciones en Sistemas Agénticos Compuestos por Prompts

Definición del Problema
El artículo aborda un modo de falla recurrente en los sistemas agénticos compuestos por prompts, donde el comportamiento de un agente se ensambla en tiempo de ejecución a partir de módulos de lenguaje natural (por ejemplo, personas, habilidades, reglas de orquestación) en lugar de código ejecutable. Los profesionales observan que la edición de un módulo de prompt puede alterar silenciosamente el comportamiento de módulos no relacionados, a pesar de la ausencia de variables compartidas o dependencias ejecutables. Los autores formalizan este fenómeno como Filtración de Comportamiento Composicional (CBL, por sus siglas en inglés).

La CBL es distinta de otros modos de falla conocidos, tales como la inyección de prompts adversarios, la degradación cognitiva temporal, la propagación de fallas en multi-agentes o la filtración de privacidad composicional. La causa raíz se identifica como no-aislamiento arquitectónico: los mecanismos de auto-atención de los Transformers computan interacciones de pares globales a través de todo el contexto de entrada sin fronteras formales entre los módulos concatenados. En consecuencia, los delimitadores estándar (por ejemplo, ### Persona) actúan como pistas estadísticas en lugar de límites de espacio de nombres, permitiendo la interferencia entre módulos co-residentes.

Metodología
Para investigar la CBL, los autores desarrollaron un protocolo reutilizable de tres canales para perturbar módulos no focales mientras se mide el impacto en el comportamiento de un módulo focal. El estudio se realizó en un agente de evaluación de empleos desplegado (career-ops) utilizando el modelo Claude Sonnet 4.6 a través de 144 ensayos (12 descripciones de puestos $\times$ 3 ejecuciones).

El protocolo definió tres condiciones experimentales frente a una línea base (C0):

C1 (Volumen): Añadir un módulo de evaluación de recetas no relacionado de 200 líneas para probar si el mero volumen de contexto causa degradación.
C2 (Contenido): Anexar un arquetipo semánticamente irrelevante al archivo de reglas compartidas para probar la interferencia semántica.
C3 (Forma): Introducir cambios estructurales que preservan el significado (niveles de encabezado, marcadores de emojis, reordenamiento de secciones) para probar la sensibilidad al formato.

La métrica de resultado principal fue la puntuación cv_match (rúbrica de 1 a 5), que representa la alineación entre la trayectoria de un candidato y los requisitos del puesto. El análisis utilizó tamaños de efecto pareados (Cohen's d) con intervalos de confianza de bootstrap del 95% (10,000 remuestreos) para detectar desplazamientos, junto con pruebas de Wilcoxon de rango con signo.

Resultados Clave
El estudio proporciona una prueba de existencia de la interferencia entre módulos:

Interferencia Semántica (C2): Esta condición produjo un desplazamiento estadísticamente detectable. Añadir un único arquetipo irrelevante al archivo de reglas resultó en un Cohen's d de 0.63 ( $\Delta = +0.17$ ) en la puntuación cv_match, con un IC de bootstrap del 95% de [+0.03, +0.31], excluyendo el cero. Ocho de las 12 descripciones de puestos mostraron un desplazamiento ascendente.
Condiciones de Control (C1 y C3): Ni la adición de volumen (C1, d = -0.11) ni la perturbación de formato (C3, d = -0.29) produjeron un efecto detectable (los IC incluyeron el cero). Esto aisla el mecanismo de interferencia al contenido semántico en lugar de la carga de contexto genérica o la sintaxis de formato.
Régimen Sub-umbral: No ocurrieron cambios de recomendación bajo ninguna condición. El artículo señala que la CBL opera en un "régimen sub-umbral" donde las distribuciones de puntuación derivan sin cruzar los límites de decisión, lo que la hace invisible para el control de calidad (QA) estándar que solo verifica las decisiones finales.

Contribuciones
El artículo realiza cuatro contribuciones específicas:

Definición Operacional: Una definición formal de la CBL como interferencia de comportamiento entre módulos de prompt co-residentes en un contexto de atención compartido, distinguida de la filtración de privacidad y la degradación cognitiva.
Protocolo Reutilizable: Un marco de prueba de tres canales (Volumen, Contenido, Forma) instanciado en un sistema desplegado, proporcionando un método para detectar la CBL utilizando artefactos ya producidos por los despliegues actuales.
Conjunto de Predicciones Falsificables: Un marco para la replicación multi-sistema que predice:
- Variación significativa en la magnitud de la interferencia entre familias de modelos.
- Un gradiente de distancia semántica donde los desplazamientos son mayores en las dimensiones de la rúbrica próximas al módulo modificado.
- Escalamiento de las tasas de cambio de recomendación con la magnitud de la intervención y la superposición semántica.
Caracterización de la Clase de Sistema: Una clasificación de los sistemas agénticos compuestos por prompts a través de un espectro de mecanismos de composición (convenciones Markdown, plantillas Jinja2, herencia de Python), identificándolos como una clase de sistema distinta donde la lógica de comportamiento reside en texto interpretado vía atención.

Significancia y Reivindicaciones
Los autores posicionan la CBL como una preocupación de seguridad y confiabilidad de primer orden para los agentes desplegados. La significancia radica en la "falta de fiabilidad silenciosa" de estos sistemas: debido a que la interferencia es sub-umbral, evade las pruebas estándar pero se acumula a través de miles de decisiones, afectando potencialmente los sistemas de clasificación, priorización y agregación descendentes.

El artículo argumenta que la suposición de que la composición de módulos de prompt produce la composición de sus comportamientos individuales no está justificada por la arquitectura de los Transformers. Por consiguiente, los autores afirman que la medición de la interferencia entre módulos debe convertirse en un requisito para la evaluación de los sistemas compuestos por prompts. Proponen un marco de pruebas de regresión que cubra la consistencia composicional, la regresión de interacción de módulos, la robustez ante la perturbación de formato y las pruebas de migración de modelos para abordar la "dispersión de prompts" observada en sistemas a gran escala como OpenClaw.

El trabajo se presenta como diagnóstico, con el objetivo de formalizar y medir un fenómeno existente para permitir su mitigación, en lugar de introducir nuevas capacidades. Los hallazgos sugieren que, sin mecanismos de aislamiento explícitos (de los cuales las arquitecturas actuales carecen), la composición a nivel de texto sigue siendo frágil, y las nuevas combinaciones de módulos deben tratarse como conductualmente impredecibles hasta que el aislamiento sea validado.