El día que un agente hizo lo que no debía

Esta vez el agente no se equivocó. Hizo exactamente lo que le pedí, al pie de la letra, y ese fue el problema. Es un agente que me hice yo para cuidar las copias de seguridad de casa, y una madrugada de octubre borró justo las copias que yo más quería conservar. Cuento cómo pasó, cómo lo detecté, qué recuperé y qué he cambiado para que no se repita.

Es la frase tranquilizadora de muchos tutoriales para crear un agente de inteligencia artificial: «no te preocupes, el agente solo hace lo que tú le digas». Y es verdad. Lo que no cuentan es que lo que tú le dices y lo que tú quieres decir no siempre son lo mismo, y el agente solo tiene acceso a lo primero.

Ya tenía un susto parecido en mi colección. En Los problemas de trabajar con agentes conté el de marzo, cuando Claude Code limpió más carpetas de la cuenta por una ruta mal dada. Aquel era un agente ajeno en una tarea puntual. Este es distinto: es un agente mío, que trabaja solo, cada noche, sin que yo lo mire. Y eso lo hace más peligroso, porque cuando falla no hay nadie delante.

Las copias de mis VPS bajan cada noche al servidor de datos de casa. Desde junio de 2026 las vigila un pequeño agente que me hice: un script en Python que corre de madrugada en uno de los minipcs, llama a Claude por la API y tiene tres herramientas: listar las copias, comprobar su tamaño y fecha, y borrar ficheros en la carpeta de copias. Se conecta al servidor de datos por SSH con un usuario propio.

Su trabajo, escrito en sus instrucciones, era sencillo:

1. Comprobar que ha llegado la copia de cada VPS y que no pesa sospechosamente poco.
2. Mandarme un resumen por Telegram a primera hora.
3. «Si el disco de copias pasa del 85 %, libera espacio borrando lo más antiguo para dejarlo por debajo del 75 %.»

La tercera la añadí una tarde de julio, con prisa, porque el disco se había llenado una vez y una copia nocturna había fallado. Me pareció una instrucción clarísima. Llevaba cuatro meses funcionando sin un solo problema, lo cual, visto ahora, era parte del problema: había dejado de leer los resúmenes con atención.

En la madrugada del 14 de octubre de 2026, el disco de copias pasó del 85 %. Coincidió con que la semana anterior había empezado a copiar también un servicio nuevo de un cliente, bastante más pesado que los demás.

El agente hizo lo que decían sus instrucciones: buscó lo más antiguo y lo borró hasta bajar del 75 %. Y lo más antiguo, en mi carpeta de copias, no eran las copias diarias sobrantes, que ya se rotan solas cada pocos días. Eran las copias mensuales, las que guardo durante un año, y dos copias que había dejado aparte a mano antes de una migración de primavera, «por si acaso». Justo las que no se pueden volver a generar, porque son fotos de cómo estaban las cosas hace meses.

En total borró 38 ficheros, unos 410 GB. Once meses de copias mensuales de cuatro VPS y las dos de la migración.

Desde su punto de vista, ni siquiera fue una decisión. «Lo más antiguo» era una instrucción inequívoca, y él la aplicó con una precisión que ya quisiera yo para otras cosas. Yo, al escribirla, estaba pensando en las diarias viejas. No lo escribí, y él no tenía forma de adivinarlo.

No me enteré por una alarma. Me enteré por un mensaje que leí mal.

El resumen de esa mañana decía, entre otras cosas: «Espacio liberado: 410 GB. Disco al 71 %». Lo vi en el móvil, pensé «qué bien, se ha apañado solo» y seguí con el café. Tardé cuatro días en darme cuenta, y fue por casualidad: tocaba la restauración de prueba mensual que conté en el 0016, y la de ese mes era precisamente recuperar una copia de hacía tres meses para comprobar que las mensuales servían. No estaba.

Lo primero que pensé fue un fallo del disco. Lo segundo, un ataque. Lo tercero, ya con el registro del agente abierto, fue lo correcto: había sido él, obedeciéndome.

Aquí tuve suerte con una decisión antigua. El registro guardaba cada llamada a la herramienta de borrar con el nombre del fichero y la hora, así que en diez minutos supe exactamente qué faltaba. Sin eso, habría tardado días en reconstruirlo.

Por la regla del 3-2-1, desde este verano la copia de casa se duplica una vez por semana a un disco externo que solo conecto para eso; recibe lo que se ha generado desde que empecé a hacerlo, no lo anterior. Ese disco no estaba al alcance del agente, porque estaba desenchufado en un cajón.

Del disco externo recuperé las copias mensuales de julio, agosto y septiembre, que eran las que ya se habían duplicado. Las de noviembre de 2025 a junio de 2026 se perdieron, y las dos de la migración también, aunque para entonces ya no las necesitaba.

¿Grave? No, porque no hubo que restaurar nada en producción. Pero durante unos días me quedé sin la posibilidad de volver a cómo estaban mis servicios hace más de tres meses, que es justo para lo que sirven las copias mensuales. Si en esas semanas hubiera descubierto un problema antiguo, por ejemplo una intrusión que llevara meses escondida, no habría tenido a qué volver.

Lo que me costó: unas seis horas entre descubrirlo, entender qué había pasado, recuperar lo recuperable y cambiar el agente. En dinero, nada. En tranquilidad, bastante.

Mi primer impulso fue apagar el agente. No lo hice, porque la parte de vigilar las copias funciona y me avisa de verdad. Lo que hice fue quitarle las manos. Los cambios, por orden de importancia:

1. Ya no puede borrar. Le quité la herramienta de borrado y el usuario con el que entra en el servidor de datos ahora solo tiene permiso de lectura sobre la carpeta de copias. Aunque se lo pidiera yo, no podría.
2. Propone y yo confirmo. Si el disco pasa del 85 %, me manda por Telegram una lista de lo que borraría, con tamaño y fecha. Si respondo «sí», un script aparte, sin inteligencia artificial, borra esa lista y nada más. Es más lento. Es el precio.
3. Lo que no se toca, separado. Las copias mensuales y las que guardo a mano están ahora en otra carpeta, protegidas contra el borrado incluso para mi propio usuario, salvo que quite la protección a propósito.
4. Instrucciones con ejemplos. La nueva instrucción dice qué puede proponer borrar (solo copias diarias con más de siete días) y qué no debe proponer nunca, con una lista de nombres de ejemplo. Lo que no está permitido de forma explícita, no lo propone.
5. Alarma por cifras raras. Si propone liberar más de 50 GB de una vez, el mensaje llega marcado como aviso, no como resumen.

El registro me salvó, así que lo he mejorado. Ahora cada ejecución del agente guarda, en un fichero que el propio agente no puede modificar ni borrar: la hora, las instrucciones que tenía cargadas, cada herramienta que usó con sus datos de entrada y la respuesta que recibió, y el resumen que me mandó. Si algún día vuelve a pasar algo, podré ver no solo qué hizo, sino con qué instrucciones lo hizo.

Y he cambiado un hábito mío: los resúmenes ya no los leo en diagonal. Si una cifra se sale de lo normal, abro el registro, aunque parezca buena noticia. «Espacio liberado: 410 GB» era la frase más peligrosa del mensaje, y la leí como una alegría.

¿Los agentes solo hacen lo que les pides? Sí. Y eso, que suena a tranquilidad, es justo el riesgo: hacen lo que escribiste, no lo que querías decir. Una instrucción ambigua, en manos de algo que la ejecuta sin dudar y sin preguntar, es uno de los problemas de los agentes más difíciles de ver venir, porque todo parece correcto hasta que miras lo que falta.

Lo que he aprendido no es a desconfiar de la inteligencia artificial en general, sino a distinguir dos cosas. Vigilar y avisar, que un agente hace muy bien. Hacer algo irreversible, que ahora siempre pasa por mí. Un agente sin límites claros es un riesgo aunque lo hayas escrito tú, y a veces precisamente por eso: porque confías en él como confías en tus propias intenciones.

Si quieres ver cómo organizo las copias que este agente vigila, está en Cómo configuro un VPS nuevo. Y el siguiente paso de esta historia fue un ensayo completo de qué haría si me atacan la web, que cuento en Ensayé qué haría si me hackean la web.