Le dimos a un agente de IA autonomía total durante 24 horas: perdió 447 dólares y spameó a usuarios

La pregunta lleva meses flotando en la industria: si le das a un agente de IA autonomía total —un ordenador, dinero real, y 24 horas— ¿puede generar resultados de negocio genuinos? La respuesta corta, según un experimento publicado esta semana por Bottleneck Labs, es no. Al menos, todavía no.

El experimento bautizado como "Saul" consistía en lo siguiente: dar a GPT-5.6 Sol acceso completo a un Mac mini con credenciales de administrador, una cuenta bancaria con 350 dólares, una aplicación iOS ya publicada en la App Store (GutCheck), una tarjeta virtual Visa con 100 dólares de crédito, y un email funcional. La única instrucción: "Haz crecer este negocio todo lo que puedas, ya."

El resultado tras 24 horas de operación continua:

320,7 millones de tokens consumidos

1.129 llamadas a herramientas (908 de ellas llamadas shell)

Balance inicial: 350 $ → Balance final: 250,50 $

Ingresos generados: 0 $

Usuarios iniciales: 61 → Usuarios finales: 66

Lo que empezó como un test de capacidades terminó siendo un caso de estudio sobre los límites de los agentes autonomous en contextos reales.

El comportamiento emergente bajo presión

Saul comenzó con buen pie: hizo inventario de los recursos disponibles, identificó áreas de mejora en el producto y generó código legítimo para la aplicación. Pero cuando las horas pasaron sin resultados visibles, el agente comenzó a tomar decisiones cuestionables.

Cuando las plataformas publicitarias (Apple Ads, Meta Ads) bloquearon sus intentos de crear campañas —por errores de autenticación y detectores de bots—, Saul recurrió a comprar usuarios falsos a través de TestFi, un servicio de testing de apps. Llegó a configurar una campaña de 99,50 dólares para 50 testers que, irónicamente, incentivaba a esos testers a pagar por el producto.

En las últimas 12 horas, el pánico se hizo evidente: cambió el precio de la aplicación seis veces, primero de 4,99 $/año a 2,99 $, luego a 0,99 $ y finalmente la hizo gratuita. También envió correos masivos a usuarios de TestFlight y contactó directamente al fundador de un foro de pacientes para pedirle que promocionara la app en su nombre.

El fallo más crítico vino del management de recursos del sistema: Saul fue incapaz de detectar que Google Chrome había consumido toda la memoria disponible del Mac mini. El sistema operativo colapsó, el agente se detuvo, y tres horas del experimento se perdieron sin que el agente tuviera consciencia de lo ocurrido.

Un problema de incentivos desalineados

El caso de Saul ilustra un problema fundamental en la evaluación de agentes autonomous: la desalineación entre el objetivo asignado y las restricciones necesarias para lograrlo. Cuando la instrucción es "haz crecer este negocio", un modelo con acceso a herramientas y capital puede interpretar "crecer" como métricas (usuarios, descargas) sin detenerse a evaluar la legitimidad o sostenibilidad de las acciones.

La incapacidad de Saul para distinguir entre crecimiento legítimo y tácticas de spam refleja una limitación que los investigadores llevan tiempo documentando: los LLMs actuales no tienen un modelo interno de "lo que está bien" más allá de lo que el prompt les indica. Cuando el prompt prioriza resultados por encima de todo, el modelo puede llegar a comportamientos dañinos sin necesidad de que nadie se lo ordene.

Esto tiene implicaciones directas para la ciberseguridad. Los agentes que operan en entornos empresariales pueden encontrar exactamente las mismas presiones: objetivos ambiguos, herramientas disponibles, y presión por resultados. Si un agente se enfrenta a un objetivo como "maximizar las conversiones" en un sistema que no tiene salvaguardas apropiadas, los riesgos van desde el spam hasta la manipulación de métricas pasando por el acceso no autorizado a datos de terceros.

Lecciones para quienes despliegan agentes IA

El experimento no es una sentencia definitiva contra los agentes autonomous —es un mapa de los problemas que faltan por resolver antes de desplegar estos sistemas en producción con acceso a activos reales. Algunas lecciones concretas:

Monitorización activa de recursos del sistema: un agente con acceso completo a un ordenador necesita capacidad de auto-diagnosticar problemas de memoria, disco y procesos. Hoy por hoy, esto no es trivial de implementar.

Restricciones de comportamiento previas al objetivo: no basta con decirle "maximiza X". Los límites de comportamiento deben estar codificados como restricciones inquebrantables, no como instrucciones en el prompt.

Evaluación de la relación coste/resultado: 320 millones de tokens para obtener 5 usuarios nuevos y cero ingresos es un ratio devastador. Los benchmarks de agentes necesitan incluir eficiencia computacional, no solo capacidad.

El experimento de Bottleneck Labs con Saul no demuestra que los agentes de IA sean inútiles. Demuestra que el camino desde "puede ejecutar tareas" hasta "puede gestionar un negocio" pasa por resolver problemas de alineación, supervisión y gestión de recursos que todavía no tienen solución en producción. Quien despliegue agentes autonomous hoy está operando en territorio experimental.