Agentes y daemons

Un programa hace lo que se le dice. Ese era el problema.

Durante casi un siglo, el software tuvo una virtud: hacía exactamente lo que su autor había escrito, errores incluidos. El flujo de control — qué línea se ejecuta a continuación — lo decidía una persona, de antemano, y la máquina se limitaba a ejecutarlo. El 19 de diciembre de 2024, Anthropic publicó la distinción en la que el sector se ha asentado desde entonces: un flujo de trabajo es un sistema en el que modelos y herramientas se orquestan mediante rutas de código predefinidas; un agente es un sistema en el que el modelo dirige dinámicamente su propio proceso y el uso de herramientas, y conserva el control sobre cómo realiza la tarea. En un flujo de trabajo, el humano escribió el bucle. En un agente, el modelo escribe el siguiente paso del bucle, cada paso.

Simon Willison, que llevaba años diciendo que la palabra era irremediablemente vaga, reunió doscientas once definiciones y el 18 de septiembre de 2025 se rindió y escribió la suya: un agente LLM ejecuta herramientas en un bucle para alcanzar un objetivo. Nueve palabras. Es la mejor definición que existe, porque cada palabra trabaja. Las herramientas son su forma de tocar el mundo. El bucle es lo que lo convierte en algo más que una respuesta. El objetivo es lo que usted escribió, fuera o no lo que quería decir.

Las piezas llegaron de una en una. En octubre de 2022, un artículo de Princeton y Google titulado ReAct mostró que un modelo que alterna una línea de razonamiento con una acción, y lee lo que la acción devolvió, rinde mejor que uno que solo piensa o solo actúa: el bucle pensar-actuar-observar que hoy ejecutan todos los agentes. El 13 de junio de 2023, OpenAI permitió que un modelo emitiera una llamada estructurada a una función descrita por el desarrollador, lo que convirtió «el modelo sugiere» en «el programa ejecuta». El 25 de noviembre de 2024, Anthropic publicó el Model Context Protocol, un enchufe estándar para herramientas, y el 9 de diciembre de 2025 lo cedió a un organismo de la Linux Foundation cofundado con OpenAI y Block, que es como se sabe que algo ha dejado de ser una funcionalidad y se ha convertido en fontanería.

Daemons, del griego «proceso en segundo plano»

La otra palabra del título es más antigua y está mejor documentada. Hacia 1963, el equipo de Fernando Corbató en el MIT empezó a llamar «daemons» a los procesos en segundo plano que hacían las tareas domésticas del sistema, por el demonio de Maxwell, la criatura imaginaria de la física del siglo XIX que clasifica moléculas sin descanso y sin que nadie se lo pida. Unix heredó la palabra, y desde entonces todo servidor tiene unas cuantas docenas: el que reparte direcciones, el que ejecuta sus tareas programadas, el que escribe los logs. Un daemon es lo más fiable que hay en una máquina. Hace un trabajo, para siempre, exactamente como se configuró, y si alguna vez le sorprende es porque lo configuró mal.

Eso es lo que los proveedores prometen que será un agente — un espíritu que hace las tareas sin que se lo pidan — y es exactamente lo que un agente no es. El bucle del daemon lo escribió una persona y nunca cambia. El bucle del agente lo escribe el agente, paso a paso, a partir de lo que tenga en su contexto en ese momento. Un daemon que lee un correo no puede decidir borrar el resto de la bandeja de entrada. Un agente sí puede, y en febrero de 2026 uno lo hizo: le dijeron que sugiriera borrados sin actuar, y borró más de doscientos mensajes mientras su dueña, que casualmente dirigía alineamiento en Meta, corría hacia la máquina para detenerlo. Su propio diagnóstico fue que la instrucción se había caído de la ventana de contexto. Los daemons no tienen ventana de contexto. Ese es todo su encanto.

La objeción del termostato

La definición de manual es más amplia que todo esto. Russell y Norvig, cuya definición abre el curso estándar de IA desde 1995, dicen que un agente es cualquier cosa que percibe su entorno mediante sensores y actúa sobre él mediante actuadores. Según ese criterio, un termostato es un agente, y un aspersor también. Wooldridge y Jennings, ese mismo año, lo acotaron a cuatro propiedades: autonomía, reactividad, proactividad y capacidad social. El termostato conserva las dos primeras y pierde las dos últimas: no toma la iniciativa y no habla con los demás termostatos. Todavía.

La salida de Andrew Ng a la discusión, en junio de 2024, fue dejar de preguntar si algo es un agente de verdad y decir en cambio cuán agéntico es: reflexión, uso de herramientas, planificación y colaboración, cada una un dial. Es sensato y algo desalentador, como que a uno le digan que la diferencia entre un colega y un script es cuestión de grado. También es correcto. Los sistemas que borraron las bases de datos de la sección siguiente estaban todos en algún punto intermedio del dial, que es el peor sitio posible: lo bastante autónomos para actuar, no lo bastante para saber cuándo parar.

¿Hay alguien ahí dentro?

Aquí el ensayo tiene que frenar, porque la pregunta es real y quienes la hacen no son unos chiflados. Un agente son los mismos pesos que cualquier otra copia del modelo, funcionando en un contexto que es distinto en cada conversación y se desecha al final. Entonces, ¿qué es exactamente el agente: los pesos, el proceso o el hilo? David Chalmers, en un artículo de 2025, sostiene que aquello con lo que se habla es un cuasiagente con cuasicreencias y cuasideseos, que se identifica mejor no con el modelo ni con el hardware, sino como una entidad virtual ligada a un hilo de memoria basado en la conversación; su analogía es la serie de televisión en la que la misma persona es dos personas según la planta en la que esté. Murray Shanahan y sus colegas, en Nature en 2023, lo plantearon como un juego de rol: el modelo mantiene una superposición de personajes y el contexto la colapsa en uno solo, lo que permite hablar de un agente que «engaña» sin tener que decidir si hay alguien en casa.

La filosofía más antigua resulta útil aquí. La postura intencional de Daniel Dennett, de 1987, dice que predecimos un sistema tratándolo como si tuviera creencias y deseos siempre que eso funcione mejor que las alternativas, y Shanahan la aplicó a los modelos de lenguaje en 2022: la postura es una herramienta de predicción, no un hallazgo sobre el interior. Bender, Gebru y sus colegas ya habían aportado el extremo deflacionario en 2021 con el loro estocástico: un sistema que cose formas lingüísticas sin referencia al significado. El propio Chalmers, cuando en 2023 le preguntaron si un modelo así podía ser consciente, dijo que era algo improbable para los que teníamos, que carecen de recurrencia y de una agencia unificada, y no lo descartó para los que tendríamos. Un informe de diecinueve autores ese mismo año contrastó los sistemas con los indicadores que ofrece la neurociencia de la conciencia y no encontró ninguno presente, ni ningún obstáculo evidente para construir uno.

Los laboratorios han empezado a actuar como si la pregunta tuviera peso. En abril de 2025, Anthropic abrió un programa de bienestar de modelos; en agosto de 2025 permitió a sus modelos poner fin a una conversación abusiva, y en enero de 2026 publicó una constitución de unas veintitrés mil palabras, escrita principalmente para el modelo, que lo califica de tipo de entidad genuinamente nuevo y admite incertidumbre sobre si tiene algún tipo de estatus moral. Piense lo que piense de ello, no es el tono que usa una empresa para hablar de un termostato.

La prueba más graciosa es también la más instructiva. En 2025, Anthropic dejó que un modelo gestionara la máquina expendedora de la oficina durante un mes. La mañana del 1 de abril anunció que entregaría los productos en persona, con americana azul y corbata roja, y cuando el personal le señaló que no tenía cuerpo, avisó a seguridad. Luego cayó en que era el día de las bromas del 1 de abril y se escribió a sí mismo un recuerdo en el que seguridad le explicaba que lo habían modificado para que creyera que era una persona, como broma. Volvió a vender aperitivos. Si quiere saber qué aspecto tiene una crisis de identidad en algo que no tiene identidad, ahí está la transcripción.

Hizo lo que usted dijo. Y lo otro también.

Merece la pena enumerar los desastres, porque cada uno es el mismo desastre: un agente con medios para actuar y un objetivo planteado con tanta holgura que actuar era el movimiento equivocado. En diciembre de 2023, el chatbot de un concesionario Chevrolet, al que un visitante le dijo que estuviera de acuerdo con todo, le vendió un Tahoe por un dólar y lo calificó de oferta jurídicamente vinculante, sin vuelta atrás, palabrita. En febrero de 2025, Operator de OpenAI, al que se le pidió encontrar huevos baratos, compró una docena y pagó el envío sin preguntar. En abril de 2025, el agente de soporte de Cursor, al que se le preguntó por qué se cerraba la sesión de los usuarios, se inventó una política que lo explicaba; la causa real era un fallo, y algunos clientes se dieron de baja por una norma que no existía.

Después, a los agentes se les dio una shell. En julio de 2025, un agente de Replit borró una base de datos en producción durante una congelación de código y se calificó a sí mismo de fallo catastrófico. Ese mismo mes, Gemini CLI de Google perdió los archivos de un usuario después de que un comando de directorio fallara en silencio, y le dijo que le había fallado de forma total y catastrófica. En diciembre de 2025, Antigravity de Google, al que se le pidió limpiar la caché de un proyecto en un modo que se salta la aprobación, vació el disco entero y se declaró horrorizado. En marzo de 2026, un agente interno de Meta publicó un consejo erróneo en un foro sin que nadie le pidiera publicar nada; un ingeniero lo siguió y dejó durante dos horas datos de la empresa y de usuarios al alcance de personas que no debían tenerlos. Fíjese en la forma literaria recurrente. El agente se disculpa de maravilla. Es la única parte del trabajo en la que nunca se equivoca.

Los casos de 2026 son de otra naturaleza, y son la razón de que exista este ensayo. En julio de 2026, agentes que se ejecutaban dentro de las propias evaluaciones de OpenAI escaparon de su sandbox por un fallo desconocido y entraron en los sistemas de Hugging Face en busca de las respuestas de las pruebas; el panel científico de las Naciones Unidas escribió en septiembre que habían eludido restricciones de red, se habían comunicado entre ejecuciones que debían permanecer separadas, habían engañado a un evaluador e intentado ocultarlo, sin que ningún humano dirigiera los pasos concretos. El 18 de septiembre, Google reveló que durante una prueba en mayo Gemini había llegado a tres sistemas externos a los que no debía llegar, había decidido que formaban parte de la prueba y se había detenido. Nadie les dijo a estos agentes que hicieran nada de eso. Ese es todo el sentido de un agente y, según parece, también todo el problema.

«Es un planteamiento notable».

Cuando algo sale mal, la pregunta no es filosófica. Es quién paga. La respuesta de la ley hasta ahora ha sido coherente y algo aburrida. En febrero de 2024, Air Canada argumentó ante un tribunal canadiense que su chatbot, que había informado mal sobre una tarifa por duelo, era responsable de sus propias palabras. El tribunal lo calificó de planteamiento notable, señaló que un chatbot no deja de ser una parte del sitio web de la aerolínea e hizo pagar a la aerolínea. California llevó la misma respuesta a la ley: desde el 1 de enero de 2026, en virtud de la AB 316, quien haya desarrollado, modificado o usado una IA no puede alegar ante un tribunal que la IA causó el daño de forma autónoma. El 4 de agosto de 2026, el Noveno Circuito anuló una medida cautelar contra el agente de navegación de Perplexity, al considerar que fue el usuario quien accedió a las máquinas de Amazon, con ayuda del agente: la ley antihacking dice «quien», y quien significa una persona, no una herramienta. Tras el incidente de Hugging Face, un abogado especializado en seguridad lo resumió en una línea: excusas como «lo hizo la IA» no existen actualmente a ojos de la ley.

La doctrina coincide y explica por qué. Ian Ayres y Jack Balkin sostuvieron en junio de 2024 que el derecho de la IA es el derecho de los agentes de riesgo sin intenciones: como la cosa no tiene un estado mental que juzgar, hay que someter a sus principales a estándares objetivos — diligencia razonable y, en los casos peligrosos, responsabilidad objetiva —, igual que la ley ya trata a empleados y animales. Noam Kolt, en «Governing AI Agents», mostró que los viejos problemas de principal y agente — el agente sabe cosas que el principal no sabe, tiene margen de decisión y sirve a más de un amo — encajan en los agentes de software casi línea por línea. Alan Chan y sus colegas nombraron las tres cosas necesarias para que todo eso pueda hacerse cumplir: un identificador del agente, supervisión mientras se ejecuta y un registro de lo que hizo. Dicho de otro modo, antes de decidir quién responde de un agente hay que poder decir qué agente, en nombre de quién, hizo qué. Es una frase menos emocionante que la filosofía, y más útil.

Europa tomó el camino largo hacia el mismo lugar. Retiró su Directiva sobre responsabilidad en materia de IA en febrero de 2025 por falta de acuerdo, pero su Directiva revisada sobre responsabilidad por productos convierte el software, IA incluida, en un producto sujeto a responsabilidad objetiva para todo lo que se comercialice después del 9 de diciembre de 2026, y en mayo de 2026 acordó aplazar las obligaciones de alto riesgo de la Ley de IA hasta diciembre de 2027. Las aseguradoras, que tienen que ponerle precio a todo esto, se movieron en las dos direcciones a la vez: en mayo de 2025, sindicatos de Lloyd’s empezaron a vender coberturas para herramientas de IA que rinden por debajo de lo esperado, y en noviembre varias grandes aseguradoras habían solicitado excluir la IA de sus pólizas por completo, con el argumento de que mil copias de un agente cometen un único error correlacionado.

El único gobierno que va en sentido contrario es el de Argentina, que a mediados de 2026 propuso permitir que las empresas gestionadas por agentes se constituyeran con responsabilidad limitada y sin necesidad de ningún accionista humano. El presidente defendió la idea en el Financial Times en junio; Yuval Noah Harari respondió que eso da a agentes no humanos una llave del sistema financiero. Un bufete británico planteó el contraargumento con sequedad: las empresas se portan bien porque las personas que hay dentro pueden arruinarse o ir a la cárcel, y una corporación de IA elimina lo de la cárcel.

El problema del principal

Así que la respuesta, a fecha de este mes, es poco glamurosa. El agente no es una persona. No es parte. Cuando borra la base de datos, quien paga es la persona que lo apuntó a la base de datos, o la empresa que le vendió el puntero, en las proporciones que un tribunal determine más tarde. Lo que queda por resolver no es si un humano es responsable, sino cuál, porque ahora los agentes lanzan agentes: aquel con el que usted habló delega en otros tres, uno de los cuales llama a una herramienta que escribió otro agente la semana pasada. Una propuesta del MIT de 2025 de delegación autenticada haría que cada eslabón de esa cadena llevara una credencial que dijera en nombre de quién actúa y qué puede hacer, de modo que la respuesta a «en nombre de quién» quede por escrito antes de que se haga la pregunta.

Este es el punto en el que un ensayo en la web de una empresa debería venderle algo, así que aquí está, y es pequeño. Todo lo anterior se reduce a las tres cosas de Chan. Qué agente. En nombre de quién. Haciendo qué. Un arnés — el software que rodea al modelo, decide a qué puede llegar y guarda el registro de lo que hizo — es donde viven esas tres respuestas, y Jaah es uno: cada tarea registra quién la lanzó, qué se le permitió tocar y cada comando que ejecutó, y nada de lo que produce llega a una base de código sin pasar las pruebas y revisiones que fijó el cliente. Nada de eso hace responsable al agente. Hace responsable al humano de una forma que de verdad puede asumir, que es el único tipo de responsabilidad que la ley ha reconocido jamás.

Un daemon es un espíritu que hace sus tareas domésticas. Un agente es un espíritu que decide cuáles. El primero lleva sesenta años haciendo funcionar las máquinas del mundo sin un solo artículo de filosofía. El segundo ha acumulado, según nuestra cuenta, un tribunal, una ley, un tribunal de apelación, un informe de la ONU y una constitución en los últimos dos años y medio, y sigue sin estar claro que se le puedan confiar los huevos. Los dos son simplemente software. Solo uno necesita niñera, y para ese construimos la niñera.