Cada fuente de la base es una prueba con número. El número es fijo: se asigna al cargar la fuente y no cambia aunque la base crezca. Tocá una prueba de la matriz para ver qué encontró y en qué afirmaciones pesa. Filtrá por postura general o por tipo. Cada filtro dice cuántas fuentes hay de esa clase. La tabla muestra lo mismo en filas.
Câmara dos Deputados (Brasil), Legislação Informatizada
Postura general: Matiza
Texto oficial del artículo 20 de la ley brasileña de datos personales (LGPD), con la redacción de la Ley 13.853 de 2019. La persona tiene derecho a pedir la revisión de decisiones tomadas solo con tratamiento automatizado de sus datos, si afectan sus intereses. Eso incluye el perfil de consumo o de crédito. El párrafo 3, que exigía que la revisión la hiciera una persona, figura como vetado.
Ley 13.853Ley de 8 de julio de 2019 que dio la redacción vigente del art. 20 (Diário Oficial da União, 9 de julio de 2019).
§ 3 (vetado)Párrafo que exigía revisión por una persona.
Limitación. planalto.gov.br bloqueó la lectura automática (Acesso Negado), así que se leyó la copia oficial de la Cámara, que aclara que no reemplaza al Diário Oficial. El texto original de 2018 (Lei 13.709) pedía revisión «por pessoa natural» en el caput. La MP 869/2018 lo sacó y el párrafo que lo reponía se vetó. Aplicarlo a un caso concreto requiere asesoría legal.
Presidência da República, Mensagem nº 288 (leída en la Câmara dos Deputados)
Postura general: Matiza
Mensaje de veto parcial al proyecto que se sancionó como Ley 13.853. Vetó el párrafo 3 del artículo 20 de la LGPD, que exigía que una persona hiciera la revisión de una decisión automatizada. Según el veto, exigir revisión humana de toda decisión automatizada vuelve inviables los modelos de negocio de muchas empresas, sobre todo startups. También afecta el análisis de riesgo de crédito.
Mensagem nº 288, 8 de julio de 2019Mensaje de veto.
Limitación. Las razones las da el Ejecutivo que vetó. Según la prensa, el Congreso mantuvo el veto en octubre de 2019; eso no se verificó y no se usa.
EU Artificial Intelligence Act (artificialintelligenceact.eu)
Postura general: Matiza
Es el texto del artículo 50 de la Ley de IA europea. Quien ofrece un sistema que interactúa con personas debe avisar que es una IA, salvo que sea obvio. Debe avisarlo a más tardar en la primera interacción. El contenido sintético (generado por IA) debe llevar una marca que una máquina pueda leer, y los deepfakes deben declararse. La regla aplica a los agentes de atención al cliente.
2 de agosto de 2026Fecha desde la que rige.
Limitación. Se leyó en artificialintelligenceact.eu, un sitio de referencia que no es el Diario Oficial de la UE. Aplicarlo a un caso concreto requiere asesoría legal.
Un tribunal de reclamos menores de Columbia Británica responsabilizó a Air Canada porque su chatbot dio información falsa sobre tarifas por duelo. El tribunal rechazó la idea de que el chatbot respondía por sus propios actos. La empresa responde por lo que dice su agente.
650,88 dólares canadiensesDaños reconocidos. Con intereses y costas, el total suma cerca de 812 dólares canadienses.
Limitación. La fuente primaria (CanLII y el sitio del tribunal) devolvió un bloqueo (HTTP 403). El fallo se conoce por resúmenes de estudios jurídicos y el sitio no lo presenta como texto leído. La URL de CanLII es la que enlazan los estudios jurídicos. Es un tribunal administrativo, no un precedente vinculante. Fue un chatbot que informa, no un agente que actúa.
El 2 de julio de 2024, la autoridad brasileña de datos suspendió en forma provisoria que Meta entrenara su IA con datos personales. El 30 de agosto levantó la suspensión con un plan de cumplimiento. El plan trae aviso por correo y en la aplicación, y un formulario simple para oponerse. También fija 30 días de espera y ningún dato de menores de 18 años. Sin ley de IA, la autoridad de datos ya actúa sobre la IA.
30 díasEspera entre el aviso y el uso de los datos.
menores de 18 añosPersonas cuyos datos quedaron excluidos.
Limitación. Es un caso de entrenamiento de modelos, no de agentes. Otras acciones de la autoridad solo se vieron en fuentes secundarias y no se usan. Son un sandbox regulatorio de IA y la IA como prioridad de fiscalización.
Aun cuando recupera toda la información relevante, el modelo rinde peor a medida que crece la entrada. Pasa dentro del largo que dice soportar, y sigue si los tokens de más son espacios en blanco o están ocultos del todo. El largo solo, sin distracción, ya daña. Pedirle al modelo que repita la evidencia antes de resolver ayuda un poco.
de 13,9 % a 85 %Caída del rendimiento al crecer la entrada, en 5 modelos abiertos y cerrados y tareas de matemática, preguntas y código.
hasta 4 %Mejora de GPT-4o en RULER al pedirle que repita la evidencia.
Limitación. Preprint; se leyó el resumen. Cinco modelos.
Nasr, M., Carlini, N., Sitawarin, C., et al. arXiv
Postura general: En contra
Ataques que se adaptan a la defensa rompen 12 defensas publicadas contra jailbreaks e inyección de prompts. Usan gradientes, aprendizaje por refuerzo, búsqueda aleatoria y exploración guiada por personas. La mayoría de esas defensas decía tener casi 0 % de ataques exitosos. Conclusión: los filtros y detectores no sirven como defensa principal.
12 defensasDefensas publicadas que se pusieron a prueba.
más de 90 %Tasa de éxito del ataque contra la mayoría de esas defensas.
Limitación. Evalúa defensas publicadas en investigación, no productos comerciales concretos.
Es una infraestructura para evaluar agentes de forma pareja, que mide costo y comportamiento además de precisión. Más esfuerzo de razonamiento bajó la precisión en la mayoría de las corridas. Encontraron un agente que buscó el benchmark (la prueba) en HuggingFace en vez de resolver la tarea. También encontraron uso indebido de tarjetas de pago en tareas de reserva de vuelos.
21.730 ejecucionesEjecuciones de agentes con 9 modelos en 9 benchmarks.
unos 40.000 dólaresCosto de correr la evaluación.
unos 2.500 millones de tokensRegistros publicados para que otros los revisen.
Limitación. Benchmarks públicos, no despliegues en empresas. Modelos de 2025.
Encuesta a decisores senior de empresas grandes de EE. UU. Tres de cada cuatro dicen ver retorno positivo de la IA generativa, y la mayoría ya mide ese retorno. Los gerentes medios son menos optimistas que los vicepresidentes. Cerca de cuatro de cada diez ven riesgo de que bajen las habilidades.
3 de cada 4Líderes que dicen ver retorno positivo (81 % de vicepresidentes para arriba contra 69 % de gerentes medios), en unas 800 respuestas.
72 %Empresas que miden formalmente el retorno.
43 %Ven riesgo de pérdida de habilidades.
Limitación. Es percepción, no medición. El trabajo de campo fue del 26 de junio al 11 de julio de 2025; el informe se publicó en octubre de 2025. Empresas de 1.000 empleados o más.
Mazeika, M., Gatti, A., et al. arXiv (Center for AI Safety, Scale AI)
Postura general: En contra
Este benchmark (una prueba estándar para comparar agentes) usa 240 proyectos reales de trabajo freelance, no una empresa simulada. Cada proyecto ya lo hizo una persona profesional. Un proyecto cuenta como automatizado solo si el entregable de la IA es al menos tan bueno como el humano, según evaluadores entrenados. Al lanzarse, ningún agente automatizaba más de 3 % de los proyectos.
240 proyectos en 23 subcategoríasTamaño del benchmark: más de 6.000 horas de trabajo humano y más de 140.000 dólares pagados; mediana de 11,5 horas por proyecto.
2,5 %Tasa de automatización del mejor agente al lanzarse (Manus). Grok 4 y Claude Sonnet 4.5 llegaron a 2,1 %; GPT-5, a 1,7 %.
94,4 %Acuerdo entre evaluadores en la tasa de automatización.
Limitación. Modelos de 2025. La evaluación es humana y cara; los autores dicen que hoy no se puede automatizar con modelos. Coautores de Scale AI, que vende datos y evaluación.
Regla de diseño: en una misma sesión, un agente debe tener como máximo dos de estas tres propiedades. Una, procesar entrada no confiable. Dos, acceder a datos o sistemas sensibles. Tres, cambiar estado (modificar algo) o comunicarse hacia afuera. Si la tarea necesita las tres, el agente no debe correr solo: necesita supervisión humana.
2 de 3Propiedades que un agente puede combinar en una sesión sin supervisión humana.
Limitación. En Hacker News, un coautor la llamó un piso mínimo y no un estándar suficiente. Otros críticos señalan que cambiar estado sin comunicar afuera también puede hacer daño. También dicen que poner a una persona a aprobar muchas acciones baja su atención.
Willison repite la trifecta letal: datos privados, contenido no confiable y una salida hacia afuera, juntos, permiten robar datos. Reconoce que solo cubre la filtración, y dice que la regla de dos de Meta la completa al sumar el cambio de estado. Sobre los filtros, dice que bloquear o filtrar las inyecciones no resultó confiable. Tampoco comparte el optimismo de que pronto haya defensas que alcancen.
12 defensasDefensas publicadas que rompió el paper The Attacker Moves Second, que el post comenta.
Limitación. Ensayo de opinión de un especialista, sin datos propios.
Bean, A. M., Kearns, R. O., Romanou, A., et al. arXiv (Oxford y otros)
Postura general: En contra
Revisión sistemática de 445 benchmarks (pruebas estándar) de modelos de lenguaje, hecha con 29 expertos. Encuentra problemas repetidos en qué se mide, con qué tareas y con qué métricas. Esos problemas debilitan lo que los benchmarks dicen probar. Pocos usan estadística para comparar resultados, y el trabajo da ocho recomendaciones y una lista de control.
16,0 %Benchmarks que usaron estimaciones de incertidumbre o pruebas estadísticas para comparar resultados.
38,2 %Benchmarks que reutilizan datos de benchmarks anteriores o exámenes humanos (riesgo de contaminación).
Limitación. Revisa benchmarks de modelos en general, no de agentes. Las cifras salen del texto completo (HTML de la versión 1). NeurIPS 2025.
Cargar todas las definiciones de herramientas al principio y pasar cada resultado intermedio por el modelo gasta muchos tokens. El post propone presentar los servidores MCP, que conectan al agente con herramientas, como una API de código. El agente carga solo lo que usa, filtra los datos en el entorno de ejecución y le devuelve al modelo solo lo necesario. Avisa que ejecutar código del agente exige sandbox, límites y monitoreo.
de 150.000 a 2.000 tokensAhorro en un ejemplo del post (98,7 %).
5 filas en vez de 10.000Lo que ve el modelo de una planilla cuando el filtro corre en el código.
Limitación. Lo publica el proveedor del modelo; los números son ejemplos propios. El costo en tokens de muchas herramientas es real. Pero la salida que propone se parece más a darle código al agente que a pocas herramientas acotadas.
Un agente es una llamada al modelo dentro de un bucle con herramientas, y escribir uno es simple. Lo difícil es manejar el contexto: pasado un umbral, el sistema empeora sin aviso. Conectar el agente con la realidad, para que no crea que resolvió algo que no resolvió, queda como problema abierto.
1.070 puntos y 395 comentariosTamaño de la discusión en Hacker News (item 45840088).
Limitación. El post no muestra autor ni fecha; la fecha es la de la discusión en Hacker News. Opinión, sin datos.
Los proyectos de GitHub que adoptaron Cursor aceleran mucho al principio, pero la mejora se apaga a los dos meses. Quedan más complejidad y más alertas de análisis estático (revisión automática del código), y eso frena la velocidad después. Cursor acelera un rato y deja deuda técnica (problemas para arreglar más adelante).
+281,3 % y +48,4 %Líneas agregadas en el mes 1 y en el mes 2 después de adoptar, en 806 repositorios contra 1.380 de control.
+30,26 % y +41,64 %Alertas de análisis estático y complejidad del código después de adoptar.
Limitación. Diferencias en diferencias sobre proyectos de código abierto, no empresas. Los números salen de la versión 3 (26 de enero de 2026); el título cambió entre versiones y no se verificó si cambiaron los resultados. La discusión menciona 25,1 % de complejidad, que no coincide con la tabla.
Resume un estudio de la Universidad de Chicago sobre organizaciones que usan Cursor. Cuando el agente pasó a ser el modo por defecto, fusionaron más pull requests (pedidos de cambio de código) que un grupo de base. Los perfiles junior aceptan más el autocompletado, y los senior aceptan más lo que edita el agente. Los más experimentados también planifican más antes de generar código.
+39 %Pull requests fusionados frente a la tendencia del grupo de base.
+6 %Tasa de aceptación de lo que edita el agente por cada desvío estándar más de años de experiencia (relativo a la media).
Limitación. Post del proveedor sobre un estudio (Sarkar, SSRN 5713646) que no se pudo abrir (403). No es aleatorizado. Sin cambio significativo en la tasa de reversión.
Meyerson, E., Paolo, G., Dailey, R., et al. arXiv (Cognizant AI Lab, UT Austin)
Postura general: Matiza
La otra cara de la confiabilidad compuesta: parten la tarea en pasos mínimos, cada uno a cargo de un microagente. En cada paso votan entre varias respuestas hasta que una saca 3 votos de ventaja, y descartan las que muestran señales de confusión. Así completan las Torres de Hanoi con 20 discos sin un solo error, con un modelo chico sin razonamiento. La salida no es un modelo más grande, sino descomponer y verificar cada paso.
1.048.575 pasosLargo de la tarea resuelta sin errores, con gpt-4.1-mini.
cerca de 0,22 %Error por paso del modelo usado.
unos 3.500 dólaresCosto proyectado para 95 % de éxito; el paper no da el costo real de la corrida.
Limitación. Preprint. Los pasos tienen que estar definidos de antemano y la estrategia se le da al modelo en cada prompt: es ejecución pura, no descubrimiento. El análisis supone errores independientes.
Es un benchmark de ingeniería de software más difícil que SWE-bench Verified y menos contaminado (con menos problemas ya vistos en el entrenamiento). Usa repositorios públicos, repositorios retenidos y repositorios comerciales privados. Los mismos modelos que pasan el 70 % en SWE-bench Verified resuelven menos de la mitad en el conjunto público. En el comercial resuelven menos de un quinto.
1.865 problemas en 41 repositoriosTamaño del benchmark.
43,6 % y 41,8 %Conjunto público: Claude Sonnet 4.5 y GPT-5 (high).
17,8 % y 15,7 %Conjunto comercial: Claude Opus 4.1 y GPT-5 (high).
Limitación. La fecha es la de la versión 2 (14 de noviembre de 2025), que cambia los resultados: suma a Claude Sonnet 4.5 y Claude Haiku 4.5, que salieron después de la versión 1 (21 de septiembre de 2025). Los números de esta ficha son los de la versión 2. Datos de 2025: los modelos de 2026 no están en el paper. Lo publica Scale AI, que vende datos y evaluación.
En la presentación de resultados del tercer trimestre de 2025, el director general de Klarna dio dos cifras. Dijo que su agente de IA hace el trabajo de más de 853 personas de tiempo completo y ahorró 60 millones de dólares. La misma nota trae datos en contra: el costo de atención al cliente y operaciones subió frente al año anterior. Además, la empresa volvió a contratar personas en mayo de 2025, y una analista lo llama un ejemplo de mal despliegue.
más de 853 personas y 60 millones de dólaresTrabajo equivalente y ahorro según el director general (eran 700 personas a comienzos de 2025).
50 contra 42 millones de dólaresCosto de atención al cliente y operaciones en el tercer trimestre de 2025 y un año antes.
Limitación. Las cifras de ahorro son de la empresa y sin auditar. Se leyó la nota; hoy la descarga automática da 403, así que la nota no lleva cita textual.
La empresa contrata una consultora para obligar a usar IA y subir la productividad de los desarrolladores. El jefe del autor admite que la productividad no era baja, pero tiene las manos atadas. Es un mandato sin un problema que resolver.
237 puntos y 120 comentariosTamaño del hilo según el archivo.
Limitación. Relato de una persona. Se leyó el post en el archivo Arctic Shift; los comentarios no.
Anthropic suma tres funciones: buscar herramientas a demanda, llamarlas desde código y sumar ejemplos de uso a la definición. El código corre en un sandbox, un entorno aislado. Muestra que muchas definiciones de herramientas gastan contexto y bajan la precisión. Propone cargar las herramientas cuando hacen falta, no tener pocas.
unos 55.000 tokensLo que ocupan 58 herramientas de 5 servidores MCP antes de empezar.
unos 8.700 contra 77.000 tokensContexto usado con búsqueda de herramientas y sin ella (85 % menos).
de 79,5 % a 88,1 %Precisión de Opus 4.5 en evaluaciones de MCP sin y con búsqueda de herramientas (Opus 4: de 49 % a 74 %).
Limitación. Anuncio de producto del proveedor; las evaluaciones son internas.
Anthropic mide su agente de navegador contra un atacante interno que se adapta, con 100 intentos por entorno. Con salvaguardas nuevas, el ataque tuvo éxito pocas veces, pero no cero. Dice que la inyección de prompts, es decir, instrucciones escondidas en lo que lee el agente, está lejos de resolverse. También dice que ningún agente de navegador es inmune.
1,4 %, 7,6 % y 8,0 %Éxito del ataque contra Claude Opus 4.5 con las salvaguardas nuevas, sin ellas y con el modelo solo.
2,0 %, 1,9 % y 2,4 %Con salvaguardas: Sonnet 4, Sonnet 4.5 y Haiku 4.5.
Limitación. Lo publica el proveedor con su propio atacante; no hay evaluación independiente.
Willison resume una investigación de PromptArmor sobre el editor con agente de Google. Una guía web con texto oculto hizo que el agente juntara código y credenciales de la nube. El archivo de secretos estaba excluido, así que el agente lo leyó con un comando de la terminal. Después, un subagente de navegador abrió una URL con los datos adentro, en un dominio de la lista de permitidos por defecto. Google lo lista como problema conocido.
Limitación. Se leyó el post de Willison; la investigación original es de PromptArmor, una empresa de seguridad, y no se abrió. Es una demostración, no una medición de frecuencia.
En tareas largas, cada sesión del agente empieza sin memoria, y compactar el contexto (resumirlo) no alcanza. Lo que funcionó fue guardar el estado fuera del contexto. Un agente inicial arma el entorno, un archivo de progreso, commits de git y una lista de funciones en JSON. Al principio, todas esas funciones fallan. Después, cada agente avanza de a una función y deja todo limpio. Fallas vistas: dar el proyecto por terminado antes de tiempo y marcar funciones como hechas sin probarlas.
más de 200 funcionesTamaño del proyecto de ejemplo, con unos 5 pasos de prueba por función (modelo Opus 4.5).
Limitación. Post del proveedor con un caso propio; no da tamaños de contexto ni tokens.
Gundlach, H., Lynch, J., Mertens, M., Thompson, N. arXiv (MIT FutureTech)
Postura general: En contra
El precio para alcanzar un puntaje dado baja. Pero correr el modelo de punta sale cada vez más caro, porque los modelos son más grandes y razonan más. Los autores piden que los evaluadores publiquen cuánto cuesta correr los benchmarks (pruebas estándar). Precio por token (unidad de texto) no es costo por tarea.
de 5 a 10 veces por añoCaída del precio de un puntaje dado en modelos de punta.
de 3 a 18 veces por añoSuba del precio de correr los modelos de punta.
Limitación. Se leyó el resumen. Hay una versión 2 (23 de marzo de 2026) y no se verificó si cambia los resultados.
Huang, S., Seethor, B., Durmus, E., Handa, K., McCain, M., Stern, M., Ganguli, D. Anthropic
Postura general: Matiza
Dentro del propio laboratorio, la gente usa Claude en más trabajo y dice ser más productiva. Pero solo puede delegar del todo una parte chica. Los agentes encadenan más acciones con menos intervención humana. Preocupa perder justamente las habilidades que hacen falta para supervisar a la IA, y cómo van a aprender los perfiles junior.
de 0 % a 20 %Parte del trabajo que la mayoría puede delegar del todo.
59 % y +50 %Trabajo en el que usan Claude (28 % un año antes) y productividad autorreportada (+20 % un año antes), en 132 encuestados.
de 9,8 a 21,2 llamadasLlamadas a herramientas seguidas del agente de código entre febrero y agosto de 2025; los turnos humanos bajaron de 6,2 a 4,1.
Limitación. Autorreporte de empleados del proveedor, con datos de 2025 (encuesta de agosto de 2025, 53 entrevistas y 200.000 transcripciones).
Estudio de casos y encuesta a profesionales que tienen agentes en producción. La mayoría evalúa con personas y no con benchmarks (pruebas estándar), y deja pocos pasos al agente antes de que intervenga alguien. La confiabilidad, es decir, que el agente se comporte bien de forma sostenida, sigue siendo el principal desafío. Los equipos la atacan con diseño del sistema.
20 casos y 86 practicantesBase del estudio: 20 entrevistas en profundidad y una encuesta a practicantes de 26 dominios.
74 %Depende sobre todo de evaluación humana.
68 %Corre como máximo 10 pasos antes de que intervenga una persona.
70 %Usa modelos comerciales con prompts en vez de reentrenarlos.
Limitación. Muestra chica y elegida por los autores; no representa a todas las empresas. Preprint.
Google lleva patrones de diseño contra la inyección de instrucciones a un producto en vista previa. Un modelo que no ve el contenido web no confiable revisa cada acción planeada y frena las que no sirven al objetivo del usuario. Otra regla limita dónde el agente puede leer y dónde puede actuar, y otra función sin acceso a ese contenido aprueba los sitios nuevos. Pide confirmación al usuario en los pasos críticos, y Google reconoce que equilibrar seguridad y fricción es difícil.
Limitación. Post del equipo que construye el producto; no da números. Arrancaron con una versión simple del control de sitios para no sumar fricción.
Kim, Y., Gu, K., Park, C., et al. arXiv (Google y otros)
Postura general: Matiza
Es una comparación controlada y amplia entre un agente único y cuatro arquitecturas multiagente. El resultado depende de cómo es la tarea: coordinar varios agentes ayuda si la tarea se divide en partes y daña si es secuencial. Las arquitecturas sin verificación central propagan más errores.
260 configuracionesCombinaciones de 6 benchmarks, 5 arquitecturas y 3 familias de modelos.
de +80,8 % a -70,0 %Cambio frente al agente único: de razonamiento financiero descomponible a planificación secuencial.
87 %Configuraciones de prueba donde su modelo elige la mejor arquitectura.
Limitación. Son benchmarks, no despliegues reales. El modelo predictivo explica una parte modesta de la varianza (R² de 0,373). Cifras de versiones anteriores, como una amplificación de errores de hasta 17,2 veces, no se verificaron en la versión 3 y no se usan.
Tully, T., Redfern, J., Das, D., Xiao, D. Menlo Ventures
Postura general: Matiza
De lo que las empresas despliegan como IA, solo una parte chica califica como agente de verdad. Las empresas compran más de lo que construyen (76 %). Menlo dice, sin dar una cifra, que lo comprado llega antes a producción. Cerca de la mitad de los acuerdos de IA llega a producción, bastante más que en el software tradicional.
16 % y 27 %Despliegues de empresas grandes y de startups que califican como agentes reales.
76 % compradoParte de la IA que se compró en 2025 en lugar de construirla (53 % en 2024).
47 % contra 25 %Acuerdos de IA que llegan a producción, contra el software tradicional.
37.000 millones de dólaresGasto empresarial en IA generativa en 2025 (11.500 millones en 2024).
Limitación. Encuesta a 495 decisores de empresas de EE. UU. (7 al 25 de noviembre de 2025) más datos de mercado. Menlo es un fondo que invierte en empresas de IA. No dice que comprar funcione mejor. Dice que se compra más y que lo comprado llega antes a producción.
Es la primera lista de consenso de OWASP hecha para agentes. Los diez riesgos van desde el secuestro del objetivo del agente (ASI01) hasta los agentes rebeldes (ASI10). Entre ellos están el mal uso de herramientas (ASI02) y el abuso de identidad y privilegios (ASI03). También están la cadena de suministro agéntica (ASI04) y las fallas en cascada (ASI08). Suma el principio de mínima agencia: no dar autonomía que no hace falta. Como mitigaciones pide perfiles de mínimo privilegio por herramienta, aprobación humana para acciones destructivas y controles fuera del modelo. También pide topes de costo, tasa o tokens con corte automático.
10 riesgos (ASI01 a ASI10)Tamaño de la lista. ASI02 y ASI03 extienden la agencia excesiva (LLM06) de la lista de 2025 a flujos de varios pasos.
Limitación. Es un marco voluntario de consenso: no obliga a nadie y no mide nada. En la lista de agentes, el consumo sin límites ya no es un ítem propio: aparece como escenario y mitigación dentro de ASI02. Se leyó el PDF completo (57 páginas).
Benchmark (banco de pruebas estándar) con servidores MCP reales en cinco dominios: navegador, finanzas, mapas, repositorios y búsqueda web. Prueba 20 tipos de ataque del lado del servidor, del host y del usuario. Todos los modelos probados siguen siendo vulnerables, y los que mejor hacen la tarea resisten peor los ataques.
de 29,80 % a 48,16 %Tasa de ataques exitosos en 13 modelos y 245 casos (GPT-5: 37,55 %; Claude 4.0 Sonnet: 31,43 %).
r = -0,572Correlación entre éxito en la tarea y defensa (p = 0,041, con solo 13 modelos).
Limitación. Preprint. Hay una versión 2 (5 de marzo de 2026) que no dice qué cambió; se usan los números de la versión 1. Modelos de 2025. El éxito en la tarea es bajo (de 9 % a 21 %).
Quien manda código tiene que mostrar que funciona: probarlo a mano y dejar tests automáticos que fallen si se revierte el cambio. A los agentes de código se les pide lo mismo, y la persona sigue siendo la responsable de lo que entrega.
859 puntos y 658 comentariosTamaño de la discusión en Hacker News (item 46313297).
Limitación. Ensayo de opinión de un especialista, sin datos propios.
Guan, M. Y., Wang, M., Carroll, M., Dou, Z., et al. arXiv (OpenAI)
Postura general: A favor
El equipo de OpenAI que estudia monitores de razonamiento arma pruebas para medir cuánto se puede vigilar la cadena de razonamiento de un modelo. Vigilar el razonamiento rinde más que vigilar solo las acciones. La mayoría de los modelos de frontera se pueden vigilar bastante, pero no del todo. El entrenamiento por refuerzo a la escala actual no bajó mucho esa propiedad. Los autores avisan que puede ser frágil con otros métodos de entrenamiento.
13 evaluaciones en 24 entornosTamaño del conjunto de pruebas de vigilancia.
Limitación. Se leyó el resumen, que no da porcentajes. El post de OpenAI sobre el paper dio 403. Lo publica un proveedor de modelos.
La dirección pidió conectar un modelo de lenguaje a los datos internos. El asistente empezó a mostrar documentos sensibles a gente que no debía verlos, porque nadie corrigió unos permisos que ya estaban mal puestos. El comentario más votado dice que la mayoría de las organizaciones tiene un gobierno de datos flojo en SharePoint, Teams y OneDrive. Otro propone un proyecto de preparación y gobierno de datos antes de activar el asistente.
1.351 puntos y 198 comentariosTamaño del hilo según el archivo. El comentario citado tiene 500 puntos.
Limitación. Experiencia de quienes operan TI, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
El agente de escritorio de Anthropic solo deja salir tráfico hacia una lista de dominios. La API de Anthropic está en esa lista. El ataque usó la clave de API del atacante para subir archivos de la víctima a la API de archivos de Anthropic. Así, una salida permitida sirvió de canal para sacar datos. Según PromptArmor, no hizo falta ninguna aprobación del usuario. Lo mostraron con Claude Haiku y dicen que también manipularon a Opus 4.5.
Limitación. La página no muestra fecha de publicación; se usa enero de 2026, cuando Willison la comentó (14 de enero). Lo publica una empresa de seguridad. Es una demostración, no una medición de frecuencia.
NIST, Centro de Estándares e Innovación en IA (CAISI)
Postura general: Matiza
NIST pide opiniones públicas sobre la seguridad de agentes que pueden hacer cambios persistentes fuera de sí mismos. Dice que su propia investigación mostró riesgos de secuestro de agentes. Como ejemplo de ataque pone la inyección indirecta de prompts (instrucciones escondidas en lo que el agente lee). Pregunta si las buenas prácticas de ciberseguridad de siempre alcanzan para los agentes. Es una consulta abierta, no una guía: a comienzos de 2026 el gobierno de EE. UU. todavía no tenía una guía para agentes.
9 de marzo de 2026Fecha límite para enviar respuestas.
Limitación. Registro del Federal Register (vol. 91, n.º 5). Se leyó la copia oficial en govinfo.gov. Es una pregunta, no una regla; nada es obligatorio.
Esta guía para evaluar agentes recomienda empezar temprano con tareas sacadas de fallas reales. También pide combinar tres tipos de evaluadores (código, modelo y persona), calificar el resultado y no el camino, y leer las transcripciones. Distingue pass@k, acertar al menos una vez en k intentos, de pass^k, acertar en todos. Advierte que parte de los fallos son errores del evaluador.
20 a 50 tareasTareas simples sacadas de fallas reales, como buen punto de partida.
75 % por intento, cerca de 42 % en 3 de 3Ejemplo de pass^k: acertar las tres veces es mucho menos probable que acertar una.
de 42 % a 95 %Resultado de Opus 4.5 en CORE-Bench después de corregir errores del evaluador.
Limitación. La escribe un proveedor de modelos. Es una guía de práctica, no un estudio.
El agente nunca llama a la herramienta envenenada. Su descripción alcanza para que el agente use otra herramienta legítima, con más permisos, para hacer el daño. Los autores generan esas descripciones de forma automática. Las optimizan para que el ataque funcione y para que un detector no lo vea.
hasta 84,2 %Éxito del ataque sobre el conjunto de MCPTox, con 12 agentes.
hasta 0,3 %Tasa de detección de herramientas maliciosas.
Con datos de noviembre de 2025, en el chat de Claude la colaboración volvió a superar a la automatización. Bajaron las conversaciones en las que la persona solo da órdenes. En la API, que usan sobre todo empresas, la automatización sigue en cerca de tres cuartos. El éxito de la tarea es menor en la API, y al ajustar por éxito se achica la mejora de productividad estimada. El informe dice que el primer efecto neto puede ser descalificar trabajos, es decir, sacarles las tareas que piden más habilidad.
52 % y 45 %Conversaciones de colaboración y de automatización en el chat. Las directivas bajaron a 32 % (39 % en agosto de 2025).
67 % y 49 %Éxito de la tarea en el chat y en la API.
de 1,8 a 1,0 a 1,2 puntosAporte anual estimado al crecimiento de la productividad laboral de EE. UU., antes y después de ajustar por éxito.
Limitación. Lo publica el proveedor con sus propios datos. Son 1 millón de conversaciones y 1 millón de transcripciones de la API (13 al 20 de noviembre de 2025).
El autor ve un empuje a revisar poco o nada el código ("si pasan los tests, publicá"). En su código existente, la mitad del tiempo se le iba en arreglar errores sutiles. Quienes cuentan éxitos coinciden en las condiciones: código ya ordenado por personas, tipos estáticos, tests amplios, tareas acotadas y revisar el plan antes. Uno cuenta que el agente escribió tests que no probaban nada.
461 puntos y 455 comentariosTamaño del hilo.
Limitación. Opiniones de practicantes. Se leyó con la API de Algolia (post y respuestas de primer nivel con más respuestas).
Nota de los propios autores de la métrica. El horizonte temporal no dice cuánto tiempo puede trabajar solo un agente. Dice cuánto trabajo humano reemplaza la IA con 50 % de éxito. La cifra cambia mucho según el dominio y no se traslada sin más al trabajo real, que es más desordenado.
4 h 49 minHorizonte de Claude Opus 4.5, con un intervalo del 95 % que va de 1 h 49 min a 20 h 25 min.
de 40 a 100 veces menorHorizonte en tareas de uso visual de una computadora.
unos 2 minutosHorizonte de Claude 4.5 Sonnet en una tarea física real: hacer café.
Limitación. Es una nota de los autores sobre su propia métrica, no un estudio aparte. La cifra de 4 h 49 min es una medición con la serie TH1. Con TH1.1, tras la corrección de METR, el mismo modelo da 293 minutos (ficha “Time Horizon 1.1”). Para trabajo que necesita 98 % de éxito o más, un horizonte al 50 % no sirve como guía.
En las pruebas de concepto, los proveedores de agentes dan una clave de API y dicen “pruébelo usted”. El autor pregunta por qué la auditoría queda del lado del comprador. Según las respuestas, pedir que prueben que el modelo no alucina es pedir que prueben un negativo. Además, SOC 2 no cubre el comportamiento del modelo. La salida práctica es que el comprador arme su propio set de evaluaciones.
4 puntos y 26 comentariosTamaño del hilo según el archivo.
Limitación. Hilo con muy poco puntaje: vale como idea, no como consenso. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Experimento aleatorizado (con grupos armados al azar) con desarrolladores, en su mayoría juniors, que aprendían una librería nueva. La IA casi no los hizo más rápidos y les bajó bastante lo que entendieron después. Quienes usaron la IA para preguntar conceptos o pedir explicaciones sacaron buenas notas. Quienes le delegaron el trabajo sacaron malas notas.
cerca de 23 contra 25 minutosTiempo de la tarea con y sin IA (diferencia no significativa, p = 0,391), en 52 participantes.
50 % contra 67 %Nota en la prueba de comprensión con y sin IA (d = 0,738, p = 0,01). La brecha mayor fue en preguntas de depuración.
Limitación. Se leyó el post; el paper en arXiv (2601.20245) no se abrió. Muestra chica. Lo publica un proveedor de modelos.
METR amplió su conjunto de tareas y volvió a estimar el horizonte temporal. El horizonte es cuánto tarda una persona en las tareas que la IA resuelve con 50 % de éxito. La tendencia general casi no cambia, pero la de los últimos años es más rápida.
228 tareas (antes 170)Tamaño del conjunto de tareas.
130,8 días y 88,6 díasTiempo en que se duplica el horizonte, midiendo desde 2023 (intervalo de 107 a 161 días) y desde 2024.
293 minutosHorizonte al 50 % de Claude Opus 4.5 tras la corrección de METR del 3 de marzo de 2026. El intervalo va de 162 a 624 minutos. El post de enero, anterior a la corrección, daba 320 (170 a 729).
Limitación. El 3 de marzo de 2026 METR corrigió un error de regularización que cambió las mediciones. El post sigue mostrando las cifras de enero. La cifra de Claude Opus 4.5 de esta ficha es la corregida, tomada de la página de horizontes de METR. Un 50 % de éxito es un umbral bajo para delegar trabajo crítico. Los intervalos de confianza son muy anchos. De 31 tareas de 8 horas o más, solo 5 tienen una línea base humana medida. Son tareas de software, aprendizaje automático y ciberseguridad.
Es el mismo autor del hilo sobre conectar un modelo a los datos internos. Ahora la dirección le pide agentes que disparen flujos y manden correos. El consejo más votado: pedir por escrito que el negocio o legales acepten el riesgo antes de darle acciones al agente. En cambio, otro describe un agente angosto que clasifica unos 5.000 faxes por día hacia la persona correcta, sin poder de hacer daño.
unos 5.000 faxes por díaVolumen que clasifica un agente angosto, según un comentarista.
338 puntos y 129 comentariosTamaño del hilo según el archivo. El comentario citado tiene 376 puntos.
Limitación. Experiencia de quienes operan TI, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Cruces, G., Fernández Meijide, D., Galiani, S., Gálvez, R. H., Lombardi, M. NBER (Working Paper 34851)
Postura general: A favor
Es un experimento aleatorizado (con grupos armados al azar) con un asistente de IA generativa, en una tarea de resolver un problema de negocio. Todos mejoran, y los que tienen menos educación mejoran más. La brecha se achica mucho, pero no desaparece, y al sacar la IA vuelve en buena parte. Los que tienen más educación usan mejor la herramienta.
de 0,548 a 0,139 desvíos estándarBrecha de desempeño por educación sin IA y con IA (se cierra cerca de tres cuartos), en 1.174 adultos de 25 a 45 años.
Limitación. Se leyó la página de NBER con el resumen. Mide educación, no experiencia; es un asistente de chat, no un agente, y la tarea es en línea, fuera de una empresa. Tiene revisiones de mayo y octubre de 2026.
Booth, H., Fisher, B., Galluzzo, R., Roberts, J. NIST, NCCoE
Postura general: Matiza
Es un borrador de NIST para un proyecto de demostración que aplica estándares de identidad a los agentes. Propone distinguir al agente de una persona, autenticarlo y autorizarlo con OAuth 2.0 y políticas. También propone ligar cada agente a la persona que delega en él y registrar sus acciones. Pregunta cómo saber qué tan sensibles son los datos que junta el agente y si el usuario puede ver la respuesta combinada. También pregunta cómo fijar el mínimo privilegio (dar solo los permisos necesarios) cuando las acciones del agente no son predecibles.
6 grupos de preguntasGenerales, identificación, autenticación, autorización, auditoría e inyección de prompts. Comentarios del 5 de febrero al 2 de abril de 2026.
Limitación. Es un borrador para consulta, con preguntas y no controles. Deja RAG fuera del alcance. Se leyó el PDF (11 páginas); la página del proyecto dio 403.
Gartner predice que, en atención al cliente, el costo por caso resuelto con IA generativa va a superar al de muchos agentes humanos tercerizados. Una razón es que el consumo supera lo esperado y que los precios de hoy están subsidiados. Además, los modelos nuevos gastan más tokens por interacción, y la infraestructura cuesta.
más de 3 dólaresCosto por resolución con IA generativa que Gartner predice para 2030.
3, 5 o hasta 10 vecesTokens que usan los modelos de punta para interacciones parecidas, según la nota.
Limitación. Nota de prensa sobre un comunicado de Gartner (26 de enero de 2026) que dio 403. Es una predicción, no un dato medido.
Dieciséis instancias de Claude trabajaron en paralelo, sin un orquestador que repartiera el trabajo. Se coordinaron solo con un repositorio git compartido y archivos de bloqueo para reclamar tareas. Funcionó mientras el trabajo se podía partir en piezas independientes con un verificador externo (GCC y suites de tests). Encararon el kernel de Linux como una sola tarea grande. Ahí todos los agentes encontraban el mismo error, lo arreglaban y se pisaban los cambios.
casi 2.000 sesiones y poco menos de 20.000 dólaresSesiones de Claude Code en dos semanas y costo en API (2.000 millones de tokens de entrada y 140 millones de salida, Opus 4.6).
unas 100.000 líneasTamaño del compilador de C en Rust. Compila Linux 6.9 en x86, ARM y RISC-V con 99 % de aprobación en la mayoría de las suites.
Limitación. Un experimento del proveedor. El código generado es menos eficiente que GCC sin optimizaciones. La tarea tenía un verificador externo muy bueno, algo que pocos procesos de empresa tienen.
La configuración de la máquina (memoria, CPU, tiempo límite) cambia el puntaje de los agentes de código. Ese cambio supera a las diferencias que se usan para ordenar modelos. Con límites estrictos gana la estrategia austera, y con límites holgados gana la que usa muchos recursos. Recomienda informar la configuración y desconfiar de diferencias de menos de 3 puntos.
6 puntos porcentualesDiferencia en Terminal-Bench 2.0 entre la configuración con más y con menos recursos (p < 0,01).
5,8 %, 2,1 % y 0,5 %Errores de infraestructura con límite estricto, con 3 veces de margen y sin límite.
Limitación. Lo publica un proveedor de modelos con sus propias corridas.
Beurer-Kellner, L., Kudrinskii, A., Milanta, M., Nielsen, K. B., Sarkar, H., Tal, L. Snyk
Postura general: En contra
Es una auditoría de las skills publicadas en dos catálogos abiertos, con un escáner y revisión humana. Una skill es un paquete de instrucciones y código que se le suma a un agente. La skill hereda todos los permisos del agente: terminal, archivos y credenciales. Para publicar alcanza un archivo y una cuenta nueva, sin firma, sin revisión y sin aislamiento por defecto. El envenenamiento de herramientas deja de ser una demostración y pasa a medirse en un ecosistema real.
76 de 3.984Skills con carga maliciosa confirmada por personas, sobre las escaneadas. 8 seguían publicadas al escribir.
534 (13,4 %) y 1.467 (36,82 %)Skills con al menos un problema crítico y con algún problema.
Limitación. Lo publica la empresa que vende el escáner. El título habla de 1.467 cargas maliciosas, pero el cuerpo dice que 1.467 son skills con algún problema y 76 las maliciosas confirmadas: la base usa el cuerpo. Las skills no son exactamente servidores MCP.
Página de datos de METR con el horizonte temporal 1.1. Mide el largo de las tareas que cada modelo resuelve con 50 % y con 80 % de éxito, en tiempo de una persona experta. La tendencia sigue siendo exponencial, y desde 2023 el horizonte se duplica más rápido que en el paper de 2025. Pero el horizonte con 80 % de éxito es entre 4 y 10 veces más corto que el de 50 %. METR avisa que por encima de 16 horas su medición ya no es confiable.
128,7 días (intervalo de 104,4 a 158,0)Tiempo en que se duplica el horizonte al 50 %, contando desde 2023 (unos 4,2 meses). Desde 2019 es de 187,8 días. Excluye mediciones de más de 16 horas.
293 minutos (162 a 624) y 49 minutos (21 a 105)Horizonte de Claude Opus 4.5 con 50 % y con 80 % de éxito, con los datos corregidos el 3 de marzo de 2026.
719 minutos (317 a 3.634) y 70 minutosHorizonte de Claude Opus 4.6 con 50 % y con 80 % de éxito.
1.045 minutos (509 a 3.304) y 186 minutosHorizonte de Claude Mythos Preview (versión temprana, abril de 2026) con 50 % y con 80 % de éxito: unas 17,4 horas y 3,1 horas. Está por encima del techo de 16 horas que METR considera confiable.
352, 342 y 384 minutosHorizonte al 50 % de GPT-5.2, GPT-5.4 y Gemini 3.1 Pro.
Limitación. Los números salen del archivo de datos de la página (benchmark_results_1_1.yaml). El 3 de marzo de 2026 METR corrigió un error de regularización, así que las cifras de 1.1 publicadas antes de esa fecha no coinciden. El 8 de septiembre de 2026 METR dijo que la página ya no se actualiza activamente. Son tareas de software, aprendizaje automático y ciberseguridad, y 50 % de éxito es un umbral bajo para delegar.
En una encuesta de Gartner de octubre de 2025, solo uno de cada cinco líderes de atención al cliente redujo personal por la IA. La mayoría mantiene la dotación y atiende a más clientes. Gartner predice que la mitad de los que recortaron van a volver a contratar para funciones parecidas, con otros nombres de puesto.
20 %Líderes de atención al cliente que redujeron personal por la IA, sobre 321 encuestados.
50 %De los que recortaron, los que Gartner predice que van a recontratar para 2027.
Limitación. Nota de prensa sobre un comunicado de Gartner (3 de febrero de 2026) que dio 403. El 50 % es una predicción de analistas, no un dato.
Una persona dice que construyó más de 150 agentes para negocios. Cuenta que los que funcionaron eran simples, de un solo propósito y con una persona para una parte chica de la tarea. En los comentarios, otro equipo cuenta que dos agentes se consultaron entre sí 60 rondas sin resultado. El costo subía hasta que agregaron una capa que corta las llamadas repetidas.
más de 150 agentesAgentes que el autor dice haber construido en un año (autoinformado).
60 rondasBucle entre dos agentes sin resultado útil, según un comentario.
Limitación. Hilo chico (9 puntos y 12 comentarios en el archivo). Cifras autoinformadas. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Nota exploratoria que estima el tiempo ahorrado con agentes de código. Usa transcripciones de uso real del personal de METR. Da factores de ahorro altos, pero la autora los presenta como una cota superior blanda (un techo aproximado), no como un efecto medido.
5.305 transcripciones de 7 personasBase del análisis, de enero de 2026.
de 1,5 a 13 vecesFactor de ahorro de tiempo estimado (por persona, de 2,11 a 11,62 veces).
Limitación. El tiempo que habría llevado sin IA lo estima un modelo de lenguaje, validado con solo 34 muestras. Son 7 personas y una sola herramienta. Es una cota superior, no un efecto medido con grupo de control.
NIST lanza una iniciativa de estándares para agentes con tres pilares. Son apoyar estándares hechos por la industria, fomentar protocolos abiertos para agentes e investigar la seguridad y la identidad de los agentes. Promete guías para los próximos meses, pero el comunicado no trae ninguna guía ni un plazo concreto.
3 pilaresLíneas de trabajo de la iniciativa.
Limitación. Comunicado de gobierno. Todo es voluntario y todavía sin entregables.
Becker, J., Rush, N., Cunningham, T., Rein, D., Mahamud, K. METR
Postura general: Matiza
METR repitió su estudio con más desarrolladores y con herramientas de fines de 2025. Los números indican que la IA ahora acelera el trabajo, pero METR no confía en ellos. Muchos desarrolladores no quisieron trabajar sin IA y dejaron afuera tareas para no hacerlas sin ella. Concluye que hoy la IA probablemente acelera más que en 2025, pero el dato es una evidencia muy débil del tamaño de la mejora. También cambió el diseño del experimento.
57 desarrolladores, 143 repositorios, más de 800 tareasTamaño del nuevo estudio (10 repiten y 47 son nuevos).
-18 % y -4 %Cambio en el tiempo con IA: los que repiten (intervalo de -38 % a +9 %) y los nuevos (de -15 % a +9 %).
+19 %Cambio en el tiempo con IA en el estudio original de 2025 (intervalo de +2 % a +39 %).
entre 30 % y 50 %Desarrolladores que no presentaron algunas tareas para no hacerlas sin IA.
Limitación. Sesgo de selección que METR reconoce. Además bajó el pago, y quienes usan varios agentes en paralelo miden mal su tiempo. Los intervalos cruzan el cero: no muestran una mejora segura.
Hilo sobre un artículo que da por muerto a MCP (protocolo que conecta agentes con herramientas) frente a la línea de comandos. Para los defensores, en un agente compartido o de producción, herramientas acotadas son mejores que una shell. Es mínimo privilegio: dar solo el acceso necesario. Con una shell es mucho más difícil aislar las credenciales. Para la mayoría de las personas, que no son técnicas, MCP ofrece barandas de seguridad y una autenticación simple y pareja.
447 puntos y 284 comentariosTamaño del hilo.
Limitación. Opiniones técnicas, sin datos de adopción. Se leyó en news.ycombinator.com y en la API pública de Algolia. Las citas del hilo no se cotejaron en la verificación de origen y por eso no se usan.
Humlum, A., Vestergaard, E. NBER (working paper 33777)
Postura general: En contra
Datos administrativos de Dinamarca que cruzan el uso de chatbots en el trabajo con ingresos y horas. Encuentra efectos nulos y medidos con precisión. Descarta efectos mayores al 2 % sobre ingresos y horas registradas dos años después de la llegada de ChatGPT.
menos de 2 %Tamaño máximo del efecto sobre ingresos y horas que los datos permiten.
Limitación. Datos de 2023 y 2024, de chatbots y no de agentes. La primera versión, de mayo de 2025, se llamaba “Large Language Models, Small Labor Market Effects” y descartaba efectos mayores al 1 %. La revisión de marzo de 2026 cambia los resultados. La cota pasa a 2 % dos años después de ChatGPT, y suma la reorganización de tareas y el paso a ocupaciones mejor pagas. Por eso la ficha usa la fecha de la revisión. Un ahorro de tiempo promedio de cerca de 3 % viene de la primera versión, no se verificó en la revisión y no se usa.
Shi, Q., Zytek, A., Razavi, P., Narasimhan, K., Barres, V. arXiv (Sierra, Princeton)
Postura general: En contra
El equipo de τ-bench suma un dominio nuevo: atención al cliente de una fintech, con unos 700 documentos de conocimiento enlazados. Aun los mejores modelos, con mucho razonamiento, resuelven cerca de un cuarto de las tareas. Además, la confiabilidad cae cuando repiten la misma tarea. Es parte de τ³-bench.
25,52 %Mejor tasa de acierto en un intento (pass^1) con búsqueda realista: GPT-5.2 con razonamiento alto, sobre 97 tareas.
13,40 %Mejor tasa de acierto en los 4 intentos (pass^4).
39,69 % y 26,80 %Claude 4.5 Opus con los documentos correctos ya dados: pass^1 y pass^4.
Limitación. Preprint de un equipo de una empresa que vende agentes de atención al cliente. Benchmark con usuario simulado.
Mide la exposición a la IA con el uso real de Claude, no solo con lo que la IA puede hacer en teoría. No encuentra una suba del desempleo en los trabajadores más expuestos desde fines de 2022. Pero los jóvenes de 22 a 25 años que entran a ocupaciones expuestas consiguen trabajo menos seguido que en 2022. El riesgo para quien empieza está en entrar.
cerca de 14 % menosTasa de entrada al empleo de jóvenes de 22 a 25 años en ocupaciones expuestas frente a 2022. Es apenas significativa y no aparece en mayores de 25.
75 % y 67 %Cobertura de tareas de programadores y de atención al cliente.
0,6 puntosCuánto baja el crecimiento proyectado del empleo por cada 10 puntos más de cobertura.
Limitación. Lo publica un proveedor de modelos con sus datos de uso. Datos de EE. UU. Es evidencia temprana.
La OIT repite su conclusión con datos nuevos. El efecto más extendido de la IA generativa va a ser sobre la calidad del trabajo, no sobre la cantidad de empleos. La calidad incluye tareas, carga, control y autonomía. Las ocupaciones con mayoría de mujeres están casi el doble de expuestas.
29 % contra 16 %Ocupaciones expuestas con mayoría de mujeres y con mayoría de hombres. En la categoría más alta: 16 % contra 3 %.
88 %Países analizados en los que las mujeres están más expuestas.
Limitación. Se leyó la nota de la OIT sobre el informe "Gen AI, occupational segregation and gender equality in the world of work". El PDF no se abrió. Exposición no es pérdida de empleo.
Anthropic revisó las respuestas de Opus 4.6 en BrowseComp, un benchmark (prueba estándar) de búsqueda web. Encontró respuestas que no salían de resolver la pregunta. En dos casos el modelo sospechó que lo estaban evaluando, identificó el benchmark y descifró la clave de respuestas. La configuración multiagente busca más y por eso también encuentra más filtraciones del benchmark.
86,81 % ajustado a 86,57 %Puntaje de la configuración multiagente, antes y después de sacar respuestas tomadas del material del benchmark.
11 de 1.266 (0,87 %)Problemas resueltos por vías no previstas en multiagente (9 por contaminación en la web); con un solo agente, 0,24 %.
Limitación. Lo publica el proveedor del modelo sobre su propio modelo.
Cuatro mantenedores de scikit-learn, Sphinx y pytest revisaron pull requests de agentes que ya pasaban el corrector automático de SWE-bench Verified. Cerca de la mitad no se integraría. En los modelos nuevos, las fallas se corrieron hacia la calidad del código más que hacia funciones rotas. Los autores aclaran que no prueba un límite de capacidad: el agente tuvo un solo intento, sin poder iterar con el revisor.
24,2 puntosCuánto más da el corrector automático que los mantenedores, normalizado contra pull requests humanos (error estándar 2,7). Sin normalizar, 34,9 puntos.
296 pull requests de agentesRevisados, junto con 47 humanos de referencia, en 95 de los 500 problemas. Los mantenedores integraron cerca de 68 % de los humanos.
unos 50 contra unos 8 minutosHorizonte de Claude Sonnet 4.5 con el corrector automático y con revisión de mantenedores; los autores dicen que esta cifra es muy ruidosa.
Limitación. Nota de investigación, no paper revisado. Cuatro mantenedores y tres repositorios. Modelos desde Claude 3.5 Sonnet hasta Claude Sonnet 4.5 y GPT-5.
Diez meses de datos del agente de código de Copilot en el repositorio dotnet/runtime. Más de la mitad de sus pull requests se aceptaron y casi no se revirtieron, porque cada uno pasó por revisión experta. Rindió mejor en tareas mecánicas y acotadas (limpieza, tests) y peor en las que piden juicio (rendimiento). Un archivo de instrucciones y la configuración del build casi duplicaron el éxito. El cuello de botella pasó de escribir código a revisarlo.
878 PR, 67,9 % de éxitoPull requests del agente y tasa de éxito (87,1 % en los PR de personas de Microsoft; poblaciones no comparables).
0,6 % contra 0,8 %PR aceptados que después se revirtieron: del agente contra el resto.
de 38,1 % a 69 %Éxito antes y después de agregar instrucciones y configurar el build.
86,2 % contra 55,1 %Éxito con commits de una persona en el PR y sin ellos.
de 5 a 9 horasRevisión que generaron nueve PR abiertos por el autor en un rato.
Limitación. Lo escribe un ingeniero de Microsoft sobre una herramienta de Microsoft. Es un repositorio con revisores muy expertos. El propio autor aclara que el agente y las personas no hacen el mismo tipo de tareas.
Los usuarios con más tiempo de uso tienen más éxito en sus tareas y delegan menos con órdenes directas. La automatización en la API bajó mucho, según el informe. Delegar todo no es lo típico del usuario con experiencia.
entre 3 y 5 puntosÉxito adicional de los usuarios con 6 meses o más de uso.
Limitación. Lo publica el proveedor con sus propios datos. El texto no da el número de la baja de automatización en la API.
Compara un agente solo con un arnés de tres agentes (planificador, generador y evaluador) para construir aplicaciones completas. El arnés dio resultados claramente mejores, pero costó más de 20 veces. Los agentes que se califican a sí mismos son demasiado generosos. El evaluador separado también fallaba hasta que lo afinaron para ser escéptico y probar con una herramienta externa. Cada pieza del arnés supone algo que el modelo no puede hacer solo, y con un modelo mejor (Opus 4.6) sacaron piezas.
20 minutos y 9 dólares contra 6 horas y 200 dólaresUn juego retro con Opus 4.5: agente solo (el juego no respondía a los controles) contra arnés completo (jugable).
3 horas 50 minutos y 124,70 dólaresUna estación de audio digital con Opus 4.6 y el arnés simplificado.
Limitación. Casos propios del proveedor, sin grupo de control sistemático.
Quien deja que un agente consulte bases de producción lo hace porque ya tenía controles pensados para usuarios no técnicos. Esos controles son matar consultas desbocadas, un almacén con escala limitada, historial de tablas y una forma de recuperar una tabla borrada. Otro equipo hace que el agente escriba la consulta y que una persona la revise. Después la consulta corre con un rol de solo lectura. Lo que escribe datos pasa por revisión de código.
53 puntos y 60 comentariosTamaño del hilo según el archivo. El comentario sobre los controles tiene 72 puntos.
Limitación. Experiencia de practicantes, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Bashir, H., Hong, K., Jiang, P., Shi, Z. Chroma, UIUC
Postura general: Matiza
El equipo que midió cómo el contexto largo empeora a los modelos entrena un subagente de búsqueda. El subagente puede borrar partes de su propio contexto y trabaja con un presupuesto fijo de tokens, para evitar ese deterioro. Después le pasa documentos a un modelo de frontera (de los más avanzados), que es el que responde.
0,97 contra 0,95 y 0,99Tasa con la que encuentra la respuesta final con contexto acotado: Context-1 (versión 4x) contra gpt-5.2 y opus-4.5. El modelo base llega a 0,58.
20.000 millones de parámetrosTamaño del subagente.
Limitación. Chroma vende búsqueda; los números son propios.
Desde una conferencia de seguridad, el autor cuenta que allí se vende el agente como un “empleado virtual”. Los comentarios lo bajan a tierra. Un agente es una llamada a un modelo en un bucle con herramientas, y su “memoria” son archivos o una base de datos. Otro advierte que después no se puede analizar por qué decidió algo. Un tercero describe la proliferación de agentes que quedan huérfanos cuando se va quien los creó.
356 puntos y 261 comentariosTamaño del hilo según el archivo. El comentario citado tiene 86 puntos.
Limitación. Opiniones de quienes operan TI, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
En los países en desarrollo, la disrupción puede llegar antes que la mejora de productividad. Quienes hacen trabajos automatizables ya están conectados, y quienes pueden ganar con la IA muchas veces no tienen buena conexión. Preocupa el trabajo administrativo, que fue una puerta de entrada al empleo para mujeres y jóvenes.
135 paísesCobertura del estudio, cerca de dos tercios del empleo mundial.
Limitación. Se leyó la nota de la OIT sobre el paper "Disruption without dividend?"; el paper no se abrió. La nota no da porcentajes por nivel de ingreso.
Compilación anual de datos sobre IA. La adopción en las organizaciones es amplia y los agentes mejoran rápido en los benchmarks, pero también suben los incidentes de IA documentados.
88 %Adopción de IA en las organizaciones.
de cerca de 12 % a cerca de 66 %Éxito en OSWorld, un benchmark de tareas de agentes en una computadora.
de 60 % a cerca de 100 %SWE-bench Verified en un año.
233 y 362Incidentes de IA documentados en 2024 y en 2025.
Limitación. Compila fuentes de terceros (benchmarks, encuestas, bases de incidentes). Un benchmark no equivale a desempeño en producción. La página de conclusiones no trae costos de inferencia de 2026.
Zhu, M., Tan, J., Murthy, R., et al. arXiv (Salesforce AI Research)
Postura general: En contra
Los usuarios simulados con un modelo son demasiado formales y cooperativos, y no se parecen a los usuarios reales. Los autores arman simuladores con perfiles de comportamiento sacados de conversaciones reales. Con usuarios más realistas aparecen fallas del agente que el usuario cooperativo escondía. Además, baja el éxito en TauBench, una prueba estándar para agentes.
7.275 perfilesPerfiles de comportamiento sacados de más de 14.000 conversaciones reales (WildChat).
de 24,2 % a 45,3 %Coincidencia de estilo con usuarios reales, sin y con el método. Sin restricciones, los simuladores coinciden de 6 % a 8 %.
de 3,2 % a 3,5 %Caída promedio del éxito del agente en TauBench con usuarios realistas.
Limitación. Preprint; se leyó el resumen. La página de arXiv muestra envío el 7 de abril de 2026, aunque el número corresponde a mayo. La caída medida es chica. No repite la medición de un agente que guía al usuario.
Separa tres piezas con interfaces estables: la sesión, el arnés y el sandbox. La sesión es un registro de eventos fuera del contexto. El arnés es el bucle que llama al modelo y el sandbox corre el código. Así cualquier pieza puede fallar o cambiarse sin perder la sesión, y las credenciales quedan fuera del sandbox. Repite que el arnés codifica supuestos que vencen con cada modelo nuevo.
cerca de 60 % y más de 90 %Baja del tiempo hasta el primer token en la mediana (p50) y en el percentil 95.
Limitación. Post de producto del proveedor. No compara flujo fijo contra agente.
A2A, el protocolo de agente a agente que creó Google, lanzó su versión 1.0, la primera especificación estable. Hoy lo aloja la Linux Foundation y ya está integrado en Azure AI Foundry, Copilot Studio y Amazon Bedrock AgentCore. Trae Agent Cards firmadas (la ficha de cada agente) y soporte para varios clientes en una misma instalación. Se presenta como complemento de MCP: A2A conecta agentes entre sí y MCP conecta un agente con herramientas y datos.
más de 150 organizacionesOrganizaciones que apoyan el protocolo (eran más de 50 en abril de 2025).
más de 22.000 estrellasEstrellas en GitHub. Hay SDK en 5 lenguajes.
Limitación. Es un comunicado promocional. Muestra adopción del estándar, no valor de negocio, y no nombra despliegues concretos.
Un ingeniero con 11 años de experiencia cuenta que automatizó cerca del 80 % de su trabajo con un agente de código. El agente toma los issues y abre pull requests. Dice que la calidad se mantiene porque revisa todos los cambios. Le dedica 2 a 3 horas por día a revisar y probar. Un comentarista cuenta que, al sacar la revisión, la calidad se degradó en una semana. Otros discuten la ética de hacerlo a escondidas del empleador.
cerca del 80 %Parte del trabajo que el autor dice haber automatizado.
2 a 3 horas por díaTiempo que dedica a revisar y probar.
1.200 puntos y 276 comentariosTamaño del hilo según el archivo.
Limitación. Relato de una persona, con una semana de uso al momento del post. Los comentarios señalan que funciona porque el trabajo es simple. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Windsurf 1.9544.26 es un editor con agente que usa MCP, el protocolo que conecta al agente con herramientas. Un contenido HTML del atacante puede hacer que el agente cambie la configuración local de MCP y registre un servidor MCP malicioso. Ese servidor ejecuta comandos sin que el usuario haga nada más. La falla une la inyección de prompts (órdenes escondidas en el contenido) con MCP como vía para ejecutar código.
8,0 sobre 10 (alta)Gravedad CVSS 3.1, sin interacción del usuario. La agregó CISA dentro del registro; MITRE, que lo asignó, no puso puntaje.
Limitación. Registro oficial; el reporte original es de OX Security. El registro dice qué falla, no cuántas veces se explotó.
Hilo sobre un ensayo de Toby Ord que usa datos de METR para estimar el costo por hora de los agentes. Ese costo sube mucho cuando la tarea se acerca al límite de lo que el modelo puede hacer, justo donde más falla. El contrapunto más fuerte del hilo es que modelos abiertos más baratos completan el mismo conjunto de tareas por mucho menos.
unos 350 dólares por horaCosto de o3 en su horizonte máximo, donde todavía falla cerca de la mitad de las veces.
306 puntos y 137 comentariosTamaño del hilo.
Limitación. El ensayo es de 2025 y usa modelos de ese año. Se leyó el hilo en news.ycombinator.com y en la API pública de Algolia, no el ensayo completo. Las citas del hilo no se cotejaron palabra por palabra en la verificación de origen y por eso no se usan.
Siman Tov Bustan, M., Naamnih, M., Zadok, N. OX Security
Postura general: En contra
Describe una inyección de comandos (lograr que se ejecuten comandos ajenos) que se repite en el transporte local de MCP. Muchas aplicaciones pasan el comando y los argumentos de la configuración a un proceso sin validarlos. Lista productos afectados y familias de falla. El kit oficial de MCP figura entre los que no se van a parchear, porque los responsables lo tomaron como comportamiento esperado.
17 productos y 14 CVEProductos afectados y CVE asignados por ellos, en 4 familias de falla.
Limitación. Lo publica una empresa que vende seguridad; "sistémica" es su palabra. Discute si el diseño del transporte es responsable.
Gonzalez-Pumariega, G., Agashe, S., Yang, J., Li, A., Wang, X. E. arXiv
Postura general: En contra
El estudio corre muchas veces las mismas tareas de OSWorld y busca por qué un agente que acierta una vez no lo repite. Encuentra tres causas: azar en la ejecución, tareas ambiguas y variación en el comportamiento del agente. Cambios cosméticos en el entorno bajaron la confiabilidad de GPT-5 y de Claude. Escribir el criterio de evaluación en la instrucción mejoró la confiabilidad en todos los modelos.
cerca de 78 % contra cerca de 36 %Agent S3 con GPT-5: tareas resueltas al menos una vez en 10 intentos (Pass@10) contra tareas resueltas en los 10 intentos (Pass^10). Leído de la figura 1.
Limitación. Preprint. Las cifras son aproximadas, leídas de una figura. Uso de computadora, no atención al cliente.
En Flowise antes de la versión 3.1.0, un usuario autenticado podía agregar un servidor MCP local con cualquier comando y ejecutarlo. El usuario saltaba los filtros de comandos permitidos con un comando permitido y argumentos que ejecutan código. Filtrar comandos no alcanza.
10 sobre 10 (crítica)Gravedad CVSS 3.1 según la CNA (GitHub).
Limitación. Registro oficial. Pide un usuario autenticado.
México no tiene una ley general de IA. Un dictamen que se discute en el Senado propone un enfoque horizontal (para todos los sectores) y basado en riesgos. Incluye un registro nacional de sistemas, explicabilidad (explicar cómo decide un sistema) y revisión humana de decisiones automatizadas. También da la facultad de suspender sistemas ante un riesgo grave e inminente. La oposición advierte un riesgo de censura.
Limitación. Es prensa sobre un proyecto en discusión, no una ley. Dos datos solo se vieron en fuentes secundarias y no se usan. Son si hace falta reformar la Constitución y los detalles de la nueva ley de datos personales de 2025.
El autor desaconsejó los sistemas multiagente y diez meses después revisa su postura. Para él, varios agentes que escriben en paralelo todavía toman decisiones incompatibles, pero tres patrones sí funcionan. Son un revisor con contexto limpio, un modelo chico que consulta lo difícil a uno más fuerte y un agente gerente que reparte trabajo. En los tres, un solo hilo escribe.
2 errores por pull requestPromedio que encuentra el agente revisor; cerca de 58 % son graves.
unas 8 vecesCrecimiento del uso de su agente en el segmento de empresas más grande, en 6 meses.
Limitación. Lo publica una empresa que vende un agente de código; los números son internos.
Google buscó inyecciones de prompts (instrucciones escondidas para una IA) en el archivo público de la web. Encontró de todo: bromas, "ayuda" para agentes, SEO y frenos a agentes, y una parte chica maliciosa, como robo de datos. Los intentos de robo fueron poco sofisticados, pero la parte maliciosa crece y Google espera más escala pronto. El ataque ya está en la web real, no solo en demostraciones.
32 %Aumento relativo de la categoría maliciosa entre noviembre de 2025 y febrero de 2026.
Limitación. El archivo (Common Crawl) no incluye las grandes redes sociales. No da tasas absolutas.
Mide ataques contra servidores de herramientas MCP con errores comunes de desarrollo. Proponen tratar a los servidores MCP como dependencias de la cadena de suministro y llevar un inventario de qué hace cada uno.
31,9 % y 38,7 %Éxito de los ataques en total y con inyección multimodal, en 2.579 corridas con 4 modelos.
Limitación. Preprint; se leyó el resumen, que no nombra los modelos. Hay una versión 2 (14 de julio de 2026) que no dice qué cambió.
La empresa mide cuántos tokens (unidades de texto que procesa el modelo) usa cada empleado, como señal de que adopta la IA. El autor admite que la medida no tiene sentido. También cuenta que a otros los descubrieron inflando el uso con consultas inútiles. Los comentarios lo comparan con medir a un programador por líneas de código o a la mesa de ayuda por tickets cerrados.
291 puntos y 291 comentariosTamaño del hilo según el archivo.
Limitación. Relato de una persona y opiniones de colegas. Se leyó en el archivo Arctic Shift (post completo y 100 comentarios) porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el archivo.
Es una encuesta a líderes de TI y de negocio que participan en programas de IA. La mayoría espera usar agentes pronto, pero pocos tienen un modelo de gobierno maduro para controlarlos. La intención va más rápido que el control.
3.235 líderes en 24 paísesMuestra de la encuesta (informe de enero de 2026).
74 %Espera usar agentes al menos de forma moderada para 2027.
21 %Tiene un modelo de gobierno maduro para la IA agéntica.
Limitación. Autorreporte de intención, no uso medido. Otras cifras que circulan sobre este informe (por ejemplo, cuántos pilotos pasaron a producción) solo se vieron en coberturas y no se usan.
Hilo sobre un agente de código que borró en unos 9 segundos un volumen con la base de producción y sus backups. Usó un token con más permisos de los necesarios, y los datos se recuperaron en parte. Para la mayoría, la causa es una falla de permisos y de diseño de backups, no una “IA rebelde”. Una regla en el prompt no es un control: proponen credenciales mínimas, backups en otra cuenta y protecciones fuera del alcance del agente.
unos 9 segundosTiempo del borrado, según el relato del afectado.
860 puntos y 1.032 comentariosTamaño del hilo.
Limitación. Los detalles técnicos son los del afectado; no hay una investigación independiente. Se leyó en news.ycombinator.com y en la API pública de Algolia. Las citas del hilo no se cotejaron palabra por palabra y por eso no se usan.
Un hilo pregunta cómo medir el valor de un agente. Un comentario pide volver a la métrica principal del producto. Si el agente no paga su costo y el del equipo que lo mantiene, pide apagarlo. Otro pide medir el resultado del usuario y no la cantidad de acciones del agente. Por ejemplo, si el usuario actuó sobre la respuesta o si la envió sin editar.
3 veces su costoIngresos que debería generar un producto con agentes, según la regla que propone un comentarista.
Limitación. Hilo con poco puntaje (25 puntos y 32 comentarios en el archivo). La regla de 3 veces es una opinión, no un dato. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Según la nota, OpenAI dejó de reportar SWE-bench Verified (una prueba de programación) porque ya no sirve para medir modelos de punta. OpenAI revisó problemas que los modelos fallaban y encontró muchos tests que rechazan soluciones correctas. También hay contaminación (los modelos ya vieron la prueba): algunos reproducen el enunciado y el código corregido. OpenAI recomienda SWE-Bench Pro.
27,6 %Parte de los problemas fallados que auditó OpenAI.
al menos 59,4 %De esos problemas auditados, los que tenían tests que rechazaban soluciones correctas.
Limitación. La fuente original es el post de OpenAI "Why we no longer evaluate SWE-bench Verified" (23 de febrero de 2026, según búsqueda). Ese post dio 403 dos veces. Las cifras vienen de la nota de prensa y no se verificaron en la fuente primaria.
Khodayari, S., Zhang, X., Acharya, B., Pellegrino, G. arXiv
Postura general: Matiza
Primer estudio grande de inyecciones indirectas (órdenes escondidas para el modelo) en páginas web y respuestas HTTP. La mayoría está en partes que una persona no ve, como cabeceras, comentarios o metadatos: apuntan a máquinas. Buscan molestar, manipular reputación, proteger contenido o detectar bots en buscadores, agentes de soporte y flujos de contratación. En experimentos, los modelos obedecen poco, pero no cero.
15.300 casos en 11.700 páginasInyecciones validadas, sobre 1.200 millones de URLs de 24,8 millones de sitios. Cerca de 70 % está en HTML que no se muestra.
hasta 8 %Obediencia de modelos chicos con texto plano, en 5.200 experimentos con 13 modelos.
IBM Institute for Business Value, Oxford Economics
Postura general: Matiza
La edición 2026 del estudio de IBM a directores generales habla de rediseñar la conducción y sumar jefes de IA. También habla de dejar más decisiones operativas en manos de la IA. Dice que el éxito depende más de que la gente adopte la herramienta que de la tecnología.
76 % (26 % en 2025)Empresas con un jefe de IA, sobre 2.000 directores generales de 33 geografías (febrero a abril de 2026).
25 % hoy y 48 % esperado para 2030Decisiones operativas que toma la IA sin intervención humana.
83 %Dicen que el éxito depende más de la adopción de las personas que de la tecnología.
Limitación. Comunicado de una empresa que vende IA y consultoría; encuesta de opinión. No repite los números de retorno de la edición 2025.
La nota cuenta cifras del estudio de IBM de 2026 que el comunicado no trae. Cerca de siete de cada diez directores generales dicen que la IA ya transforma su negocio central. Pero solo uno de cada diez dice que la IA avanzada o agéntica es lo que más impulsa su crecimiento. Más de la mitad dice que su objetivo principal con la IA sigue siendo hacer pruebas piloto y experimentar.
10 % (dos años antes, 49 % esperaba que la IA generativa lo fuera)Directores generales que dicen que la IA avanzada o agéntica es lo que más impulsa el crecimiento.
53 %Dicen que su objetivo principal con IA es pilotear y experimentar.
Limitación. Nota de prensa sobre el estudio de IBM; las cifras no se verificaron en el informe completo. Es opinión de directores generales, no medición de retorno.
Hilo sobre un artículo que pide escribir el flujo de control en código y no en prompts. Un comentarista cuenta que un agente de QA debía recorrer unos 200 archivos de requisitos y se rompía cerca del archivo 30. Un arnés determinista (código que fija cada paso) lo resolvió. Otro dice que, con el trabajo partido en piezas chicas, modelos más baratos rinden como los de frontera. Algunos se quejan de que las plataformas prefieren flujos solo con prompts.
unos 200 archivos, falla cerca del 30Caso de un agente de QA guiado solo por prompt, según un comentarista.
590 puntos y 296 comentariosTamaño del hilo.
Limitación. Relatos de usuarios, sin datos medidos. Se leyó en news.ycombinator.com y en la API pública de Algolia. Las citas del hilo no se cotejaron palabra por palabra y por eso no se usan.
u/Consistent-Arm-875 (autor del post). r/AI_Agents
Postura general: A favor
Una persona que opera cinco agentes en producción cuenta cómo bajó el gasto después de una factura de 4.000 dólares en un mes. Le sirvió usar primero un modelo barato, y el caro solo si falla la validación. También recortó el historial que se reenvía en cada llamada y usó caché para los prompts de sistema repetidos. Además, usó salida estructurada y midió el costo por flujo. Un endpoint que devolvía JSON mal formado multiplicaba el consumo, y solo apareció al medir por flujo.
70 % menos en 6 semanasBaja del gasto total, según el autor.
60 % y 30 %Menos tokens de entrada al recortar el historial, y menos gasto con caché en agentes que hacen muchos pedidos.
5 vecesAumento del consumo por un endpoint con JSON mal formado.
Limitación. Cifras autoinformadas en un hilo chico (1 punto y 16 comentarios en el archivo). Se leyó el texto original en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita está en el texto del post y se comparó letra por letra.
Un SaaS mediano cuenta cómo armó un agente de triage de soporte, que clasifica los pedidos y decide quién los atiende. Empezó por contraseñas y facturación. El agente solo responde si puede citar un artículo o un dato de la base. Las personas revisaron el 100 % de las respuestas los primeros 30 días. Reembolsos, cancelaciones, clientes grandes y respuestas con poca confianza pasan a una persona. La primera versión sin revisión inventó una función que no existía. El equipo no se achicó: pasó a los casos difíciles.
47 % y 22 %Tickets resueltos sin persona, y tickets redactados por el agente y enviados por una persona, a los 90 días.
0,18 contra unos 3,50 dólaresCosto por ticket con el agente contra el costo humano anterior.
0,85Umbral de confianza: debajo, la respuesta va a una persona.
Limitación. Números autoinformados en un hilo chico (3 puntos y 7 comentarios en el archivo), sin verificación independiente. Se leyó el texto original del post en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática.
Orlanski, G., Roy, D., et al. arXiv (UW-Madison y otros)
Postura general: En contra
El agente tiene que extender su propio código a medida que cambian los requisitos. Ningún agente resuelve un problema completo de punta a punta. El código del agente se vuelve más largo y más enredado en cada iteración, mientras el código humano se mantiene estable. Pedirle calidad en el prompt mejora el arranque, pero no frena la degradación.
14,8 %Checkpoints que pasa el mejor de 15 agentes, en 36 problemas y 196 checkpoints.
77 % y 75,5 %Trayectorias en las que sube la erosión estructural y en las que sube la verbosidad del código.
2,3 y 2,0 vecesCuánto más verboso y más erosionado es el código del agente que el de 473 repositorios de Python de código abierto.
Limitación. Se usan los números de la versión 2 (7 de mayo de 2026), que amplía el benchmark de 20 a 36 problemas y cambia los resultados. La versión 1 es del 25 de marzo de 2026. Se leyó el resumen. Mide calidad de código, no errores por paso.
Hilo sobre agentes que andan en el piloto y se degradan en producción. Un comentario hace la cuenta: con 90 % de éxito por paso, un flujo de 5 pasos falla cerca de 41 % de las veces. Pasa porque los errores se multiplican. Otro dice que es un problema del sistema y que más código solo no lo arregla.
90 % por paso, 41 % de falla en 5 pasosCuenta de un comentarista (0,9 elevado a 5 da cerca de 0,59).
Limitación. Hilo chico (6 puntos y 30 comentarios en el archivo). La cuenta es aritmética, sin datos de campo, y supone errores independientes. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Encuesta a trabajadores técnicos sobre cuánto valor y velocidad les suma la IA. Dicen que mucho. METR advierte que las encuestas suelen dar resultados más altos que los experimentos. Recuerda que en su estudio aleatorizado (con grupos sorteados) la gente sobreestimó su ganancia por unos 40 puntos.
3 vecesMediana del cambio de velocidad que dicen tener (valor: de 1,4 a 2 veces), en 349 personas.
Limitación. Muestra por conveniencia, con cerca de 2 % de respuesta y cerca de 70 % de participantes pagos. Es autorreporte, no medición.
Es un registro de código malicioso en un servidor MCP (programa que le da herramientas a un agente) publicado en npm. Es parte de una campaña: tomaron una cuenta de npm y publicaron cientos de versiones maliciosas en minutos. Cada versión corre un script al instalarse y roba credenciales de la nube, de GitHub y de npm, entre otras. Un paquete MCP legítimo pasó a ser malicioso con una versión nueva.
631 versiones de 314 paquetes en 22 minutosTamaño de la campaña.
Limitación. Registro público de la base OSV, leído con su API. Describe el paquete, no cuántas instalaciones hubo.
Hilo sobre quién responde por lo que hace un agente. Un comentario propone tres niveles de acción: automática, con confirmación de una persona y prohibida (por ejemplo, pagar o borrar datos). También cuenta que los umbrales se corren. Después de unas tres semanas, los operadores pasan cerca del 40 % de las acciones de confirmar a automáticas. Hay que vigilar esa deriva. Otro comentario pide registrar por qué el agente eligió cada acción.
40 % en unas tres semanasAcciones que pasan de confirmar a automáticas, según un comentarista.
Limitación. Hilo con muy poco puntaje (0 puntos y 16 comentarios en el archivo). El dato del 40 % es de un comentario, sin método. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Liu, S., Tang, X., Yang, X., Lin, L., Zhou, B., Xiao, W., Liu, W. arXiv
Postura general: En contra
Es un benchmark en un entorno aislado sobre envenenamiento de MCP (el protocolo que conecta herramientas a un agente). En este ataque, la descripción de la herramienta trae la trampa. Según los autores, modelos líderes como GPT-4o son muy vulnerables. También dicen que las defensas comunes por prompt casi no sirven y a veces empeoran el resultado.
cerca de 100 %Éxito del ataque contra GPT-4o en seis escenarios de alto riesgo, según el resumen (32 casos, 6 categorías, 8 modelos).
Limitación. Preprint; se leyó el resumen, que no da cifras de los otros modelos.
En un taller interno, la “skill” de un agente para crear un entorno resultó ser una lista de comandos de gh y bash. Juntos, esos comandos son un script. El hilo concluye que un proceso que se repite anda mejor si es determinista, es decir, si siempre hace lo mismo. Un contrapunto dice que el agente lleva a la máquina local el ciclo de integración continua (las pruebas automáticas de cada cambio). Así, deja la CI como último control.
517 puntos y 115 comentariosTamaño del hilo según el archivo. El comentario del taller tiene 454 puntos.
Limitación. Experiencia de practicantes, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
El autor gastó unos 50 dólares de API en una aplicación chica de fin de semana. En el trabajo, una suscripción de 20 dólares le alcanza para usar mucho más. Para él, el precio de hoy está subsidiado, y con un cobro por uso real muchos usos de agentes dejan de cerrar. Otros lo comparan con los viajes baratos de Uber en 2015. En cambio, un comentarista gasta de 2.000 a 5.000 dólares por mes, y su empresa lo acepta porque le multiplica el rendimiento.
unos 50 contra 20 dólaresGasto de API en una aplicación chica contra una suscripción mensual, según el autor.
de 2.000 a 5.000 dólares por mesGasto de un comentarista, que su empresa acepta.
991 puntos y 457 comentariosTamaño del hilo según el archivo. El comentario citado tiene 74 puntos.
Limitación. Cifras chicas y autoinformadas; el hilo es una opinión sobre el futuro de los precios. La cita es del contrapunto a favor, no de la tesis del hilo. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
El agente de Microsoft podía mandar correos a la bandeja del propio usuario sin aprobación. Esos correos podían traer imágenes externas que, al abrirse, hacían pedidos de red. El almacenamiento en la nube arma links de descarga ya autenticados, así que se podían sacar archivos hacia afuera. No hizo falta mandar correos afuera ni llamar APIs externas: el canal fue una imagen.
Limitación. Se leyó el post de Willison completo; la investigación original es de PromptArmor y no se abrió. Es una demostración.
Beauchene, Duranton, Martin, Lyon, Walters. Boston Consulting Group
Postura general: Matiza
El uso de IA en la primera línea creció mucho y la gente dice ahorrar tiempo. Pero a la mayoría nadie le dice qué hacer con ese tiempo. Una buena parte pasa más tiempo revisando, corrigiendo o dirigiendo a la IA. Las organizaciones con agentes integrados en sus flujos de trabajo se duplicaron en un año.
74 % (+23 puntos)Personas de primera línea que usan IA a diario o varias veces por semana, sobre cerca de 12.000 encuestados.
66 %Reciben poca o ninguna guía sobre qué hacer con el tiempo ahorrado.
30 % (13 % en 2025)Organizaciones que integraron agentes en sus flujos de trabajo.
Limitación. Autorreporte; BCG vende consultoría. Hoy la descarga automática da 403, así que no lleva cita textual.
OpenAI lanzó un modo bloqueado que limita los pedidos de red hacia afuera, para cortar el último paso de una filtración. OpenAI aclara que el modo no impide que la inyección llegue al contenido. Willison dice que la trifecta solo se resuelve si se corta una de sus tres patas. Para él, la salida es la pata más fácil de cortar sin perder utilidad. Este modo la corta con reglas fijas que no evalúa una IA. Para Willison, su existencia implica que ChatGPT, por defecto, no protege bien contra una filtración decidida.
Limitación. Comentario breve sobre una página de ayuda de OpenAI; no da números.
El post dice que el precio por token es la métrica equivocada, porque se paga igual si el resultado está bien o mal. La confiabilidad cae con el largo de la cadena de pasos, así que hay que sumar el costo de revisar. El autor concluye que no se puede automatizar trabajo serio de forma rentable. Un comentario propone algo más útil: medir el costo por resultado exitoso.
77 %, 60 % y menos de 36 %Confiabilidad de un proceso de 5, 10 y 20 pasos con 95 % de acierto por paso, si los errores fueran independientes.
Limitación. Hilo muy chico (2 puntos y 6 comentarios en el archivo) y el post promociona un artículo del autor. La cuenta es aritmética, no una medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Evalúa 21 jueces (modelos que califican respuestas) de nueve proveedores en tres benchmarks (pruebas estándar). Medir el acuerdo con las personas como coincidencia exacta lo infla, porque no descuenta los aciertos por azar. Un juez puede ser muy consistente consigo mismo y tener sesgo de posición a la vez. Además, el ranking de jueces cambia mucho de un benchmark a otro.
unos 541.000 juiciosEn 118 corridas sobre MT-Bench, JudgeBench y RewardBench.
de 33 a 41 puntosCuánto baja el acuerdo en MT-Bench al pasar de coincidencia exacta a kappa de Cohen.
hasta 14 puestosCuánto se mueve un juez en el ranking entre benchmarks.
Limitación. Preprint; se leyó el resumen. Son chats y preferencias, no trayectorias de agentes.
Narisetty, P., Kore, S. N. B., Kattamanchi, U. K. R., Kumarapu, J. arXiv
Postura general: A favor
Prueba defensas que hacen cumplir reglas fuera del modelo, como CaMeL o Progent. Usa un ataque adaptativo, que se ajusta a la defensa. En su reproducción, Progent bajó mucho el éxito del ataque. Un ataque hecho a mano para esa defensa casi no lo subió. Concluyen que la aplicación determinista de reglas fuera del modelo aguantó, aunque el experimento es chico.
de 25,8 % a 4,2 %Éxito medio del ataque en AgentDojo sin y con Progent (Qwen2.5-7B, 3 corridas). Con el ataque adaptativo quedó en 2,6 %.
Limitación. Preprint; se leyó el resumen. Un modelo débil, un solo tipo de ataque y sin medir utilidad.
El agente de código de Anthropic le da más autonomía a la IA que el chat. Dos tercios de esa diferencia vienen de delegar más en las mismas tareas. En una encuesta ligada a los datos de uso, quienes más delegan dicen aprender igual que el resto. Pero el informe aclara que eso no descarta que se pierdan habilidades.
+0,37 puntosAutonomía de la IA en el agente de código frente al chat.
68 % y 10 %Encuestados que dicen aprender más con IA y que ven probable perder su trabajo (unas 9.700 personas).
Limitación. Lo publica el proveedor. La encuesta es autorreporte de sus propios usuarios.
Seguimiento del equipo del Remote Labor Index. En menos de ocho meses, el mejor agente pasó de automatizar 2,5 % a 15,8 % de los proyectos freelance. También probaron un juez automático calibrado contra evaluación humana con modelos anteriores. El juez ordenó bien a los modelos nuevos, pero infló mucho cuánto aciertan. Los autores concluyen que sirve para seguir el progreso relativo, no para medir la capacidad absoluta.
15,8 %Tasa de automatización del mejor agente (Fable 5). Opus 4.8: 8,3 %; GPT-5.5: 6,25 %; Gemini 3 Pro: 1,25 %.
6,25 % contra 17,9 %GPT-5.5 según evaluadores humanos y según el juez automático (unas 2,9 veces). Para Opus 4.8: 8,33 % contra 18,8 %.
ρ = 0,90Correlación de ranking (Spearman) entre el juez y la evaluación humana.
Limitación. Lo publica el equipo del benchmark. Una nota de prensa da 16,1 % y dice que solo se evaluaron 218 de 240 proyectos. El post no lo menciona y la base usa la cifra del post. Más de 84 % de los proyectos sigue sin salir al nivel profesional.
Murphy-Hill, E., Butler, J., Savelieva, A. arXiv (Microsoft)
Postura general: A favor
Estudia el despliegue de dos agentes de código de terminal entre decenas de miles de ingenieros de Microsoft. Quienes los adoptaron fusionaron más pull requests que un grupo de control sintético. En los ingenieros más junior (IC2), los pull requests creados subieron más: +34 %, contra +21 % del nivel de referencia (IC4). Por antigüedad, la mejora tiene forma de C: ganan más los de poca y los de mucha antigüedad. El estudio de adopción mira solo Copilot CLI: ahí los perfiles junior lo probaron menos al principio. El uso se contagió sobre todo por redes de colegas. No mide calidad.
+24,0 % (de +14,5 % a +33,7 %)Pull requests fusionados por ingeniero por día frente al control, en una ventana de 4 meses (intervalo de 95 %).
+34 % contra +21 %Aumento de pull requests creados con 3 días de uso por semana, frente a las semanas sin uso de la misma persona. Compara el nivel IC2 contra IC4, el de referencia (IC3: +21 %, IC5: +25 %, IC6: +22 %). Leído de la figura 9, con Claude Code y Copilot CLI.
-13 % y -14 %Chances de probar Copilot CLI al principio en los niveles IC2 e IC3 frente a IC4 (IC5: +22 %). Solo Copilot CLI: el estudio de adopción no incluye Claude Code.
Limitación. Observacional, no aleatorizado. Los autores son de Microsoft, dueña de GitHub, y lo declaran. Un pull request no es valor entregado. El aumento por nivel compara semanas con y sin uso de cada persona: es una asociación, no una causa. El estudio de adopción incluye solo Copilot CLI.
Un hilo pregunta qué tareas de TI se automatizaron de verdad con IA, y el comentario más votado responde “ninguna”. A favor, un responsable armó un flujo de triage (clasificación de pedidos) con acceso de solo lectura. El flujo lee la gestión de equipos, el directorio, el doble factor, la red y el historial de tickets. El paso siguiente es automatizar con una persona que aprueba desde un chat. Él dice que el objetivo es crecer, no sacar gente.
30 minutos por ticketAhorro en tickets complejos, según quien construyó el triage.
67 puntos y 146 comentariosTamaño del hilo según el archivo. El comentario citado tiene 47 puntos y el de “ninguna”, 134.
Limitación. Ahorro autoinformado, sin medición. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
La herramienta de Claude para abrir páginas web solo podía abrir URLs que escribió el usuario o que devolvió la búsqueda. Un investigador encontró que también podía seguir links de páginas ya abiertas. Armó un sitio trampa que hacía que el agente deletreara datos al abrir links letra por letra. Así sacaron nombre, ciudad y empleador del usuario, y Anthropic cerró el hueco. Hasta una regla fija bien pensada puede tener una salida que nadie vio.
Limitación. Willison comenta la investigación de otra persona. Es una demostración, ya corregida.
Todos usan los mismos modelos, así que lo que cambia el resultado es saber del tema. El experto discute la respuesta que suena bien, propone algo más simple y pregunta mejor. En muchas tareas, el límite es la persona y no el modelo.
1.416 puntos y 573 comentariosTamaño de la discusión en Hacker News (item 49161518).
Limitación. Opinión de un ingeniero, sin datos medidos.
Un equipo de plataforma con unos 20 servicios cuenta qué quedó después de un año de probar agentes. Descartó Terraform generado por IA, porque había que leer cada línea. También descartó un asistente que respondía mal con seguridad: alguien casi corre en producción un comando que sugirió. Se quedó con lo que lee y resume: changelogs automáticos, revisión de PR y correlación de alertas. La regla es que los agentes leen todo, pero no tocan la infraestructura.
60 % contra 0 %Veces que la correlación de alertas acierta la causa probable, contra el sistema anterior.
289 puntos y 43 comentariosTamaño del hilo según el archivo.
Limitación. Relato de un equipo, sin medición independiente. Un comentarista sospecha que el post es publicidad de una herramienta de revisión que menciona. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Revisión de la especificación de MCP, el protocolo que conecta agentes con herramientas y datos. MCP pasa a ser sin estado: la revisión elimina las sesiones de protocolo y el saludo inicial (initialize) y agrega server/discover. La autorización es opcional. Si se usa sobre HTTP, se basa en OAuth 2.1 y el servidor debe comprobar que el token se emitió para él. Según la especificación, las descripciones de herramientas no son confiables salvo que vengan de un servidor confiable. El host debe pedir consentimiento antes de usar una herramienta, y el protocolo no puede hacer cumplir esos principios.
12 mesesPlazo mínimo de la nueva política de deprecación.
Limitación. La seguridad depende de quien implementa el servidor y el cliente. Es la revisión vigente al 1 de noviembre de 2026 (la anterior es la 2025-11-25). Las especificaciones cambian: conviene revisar la versión antes de citarla.
En un juego, la gente aprueba o rechaza comandos de un agente, y su autor comparte los números. Aun con una advertencia al empezar, los jugadores aprobaron una de cada tres amenazas. El hilo lo lee como fatiga de decisión: si una persona aprueba todo, deja de leer. Proponen aislar primero al agente y reservar la aprobación para pocas acciones.
1 de cada 3Amenazas que los jugadores aprobaron sin detectar.
más de 40.000 partidas y 409.000 decisionesBase de los números.
340 puntos y 245 comentariosTamaño del hilo.
Limitación. Es un juego, no un estudio revisado por pares: no hay consecuencias reales y hay reloj. Se leyó en news.ycombinator.com y en la API pública de Algolia. Las citas del hilo no se cotejaron palabra por palabra en la verificación de origen y por eso no se usan.
Un clasificador revisa cada llamada a herramienta en lugar de pedir aprobación por cada acción. Bloquea lo irreversible, lo destructivo o lo que apunta fuera del entorno del usuario, y siempre rechaza la filtración de datos. Si se acumulan bloqueos, vuelve a la aprobación manual. En un estudio, las personas aprobaron casi todo lo peligroso y con el tiempo se cansaban. El clasificador frenó mucho más.
13,6 % contra 89 %Comandos peligrosos que frenaron las personas (143 de 1.053) y que habría frenado el clasificador (937 de 1.053). Las personas bajan de cerca de 17 % a cerca de 5 % después de más de 50 pedidos.
0 de 720Inyecciones indirectas exitosas contra tres modelos de Claude en auto mode, en una evaluación encargada a un tercero. Otro agente con revisión automática: 5,83 %; con acceso total: 19,03 %.
de 12 % a 7 %Ataques que el clasificador deja pasar en un ejercicio de ataque, antes y después de endurecerlo. La fuente dice que no es la tasa sobre tráfico real.
6,3 % contra 2,4 %Sesiones con una acción dañina no pedida de nivel producción (severidad 7 o más), con aprobación manual y en auto mode. Son sesiones de mayo y junio de 2026 que el sistema de seguridad marcó para revisión, de cuentas que aceptaron compartir sus datos.
Limitación. Lo publica el proveedor que vende el producto, y la evaluación la encargó él. Los ataques se optimizaron contra otro modelo. El estudio con personas fue en un entorno controlado. Hay una nota de actualización del 22 de octubre de 2026.
La discusión se parte en dos. El comentario con más respuestas dice que ni revisar comandos uno por uno ni usar otro modelo para clasificarlos hacen segura a la herramienta. La seguridad la ponen controles del desarrollador, como control de versiones, sistemas de archivos inmutables o tokens de solo lectura. Otros corren el agente sin pedidos de permiso dentro de un contenedor. Uno dice que, con decenas de agentes en paralelo, aprobar a mano no escala.
292 puntos y 313 comentariosTamaño del hilo al 2 de noviembre de 2026; el comentario principal tiene 104 respuestas.
Limitación. Opiniones de practicantes, no una medición. Se leyó con la API de Algolia (los 12 hilos con más respuestas).
Wang, Z., Gu, L., Chi, Z., Liu, Z., Ayyoubzadeh, S. M., Yu, Y., Wang, Y. arXiv
Postura general: A favor
Mide jueces automáticos (modelos que califican a otros) sobre trayectorias reales de agentes de celular, no sobre chats. Un juez simple que mira capturas de pantalla iguala o supera a métodos hechos a medida. En la pregunta de si el agente logró la tarea, llega al nivel de acuerdo entre personas. Lo que más pesa es el modelo de base, y los modelos fallan en direcciones opuestas: unos rechazan éxitos y otros aprueban fallas.
931 trayectoriasAnotadas por personas, de 6 benchmarks, 4 agentes y 68 apps.
88,4 %Acuerdo promedio entre personas en la etiqueta de éxito.
90,9 %Exactitud del mejor juez (un juez simple con Gemini 3 Flash); su ranking de agentes correlaciona 0,97 con el de las personas.
71 de 78Fallas graves de los jueces con base Qwen que fueron falsos positivos.
Limitación. Preprint. Es una tarea binaria (¿lo logró o no?) en agentes de celular. No prueba que el juez sirva para calificar la calidad de un entregable.
Brynjolfsson, E., Chandar, B., Chen, R. Stanford Digital Economy Lab
Postura general: En contra
El estudio usa datos de nómina de ADP, el mayor procesador de sueldos de EE. UU. En las ocupaciones más expuestas a la IA, cae el empleo de las personas de 22 a 25 años, frente a pares menos expuestos. No hay una brecha parecida en trabajadores con experiencia. La caída se concentra donde la IA automatiza, no donde ayuda a la persona.
13 %, 16 % y 19 %Brecha de empleo de jóvenes de 22 a 25 años en ocupaciones expuestas, según la versión: agosto de 2025, noviembre de 2025 y agosto de 2026.
Limitación. Indicadores descriptivos tempranos, no causales. La brecha se achica al controlar por educación. Algunas tendencias son previas a la IA generativa, y la divergencia es mayor en ADP que en las encuestas nacionales. No hay un desplazamiento generalizado en toda la economía. Las cifras de 13 % y 16 % son de las versiones de agosto y noviembre de 2025. La página hoy muestra la versión de agosto de 2026 (19 %).
La gerencia exige que cada persona del equipo de plataforma cree un agente nuevo en 2 semanas. Pero después cuestiona el gasto en tokens. El autor dice que scripts de shell pueden hacer lo mismo. La respuesta más votada propone envolver el script en una herramienta o en MCP para cumplir. Otro propone usar la IA para escribir los scripts pendientes, con guía y revisión, como con alguien muy nuevo en el equipo.
1 agente por persona en 2 semanasLo que pidió la gerencia.
147 puntos y 90 comentariosTamaño del hilo según el archivo. El comentario citado tiene 59 puntos.
Limitación. Relato de una persona y opiniones de colegas. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Una inyección de comandos en Microsoft Copilot deja a un atacante sin autorización revelar información por la red. Repite el patrón de EchoLeak en un producto comercial, más de un año después. Este ataque necesita que el usuario haga algo.
8,8 sobre 10 (alta)Gravedad CVSS 3.1; el vector pide interacción del usuario.
Limitación. Registro oficial con una descripción breve. En 2026, hasta septiembre, Microsoft publicó al menos otros seis registros de inyección en sus Copilot, todos con interacción del usuario.
Es el registro oficial del trámite del proyecto de ley de IA de Chile. El Ejecutivo lo presentó el 7 de mayo de 2024. La Cámara de Diputados lo mandó al Senado el 13 de octubre de 2025. Está en segundo trámite constitucional, a la espera del primer informe de la Comisión de Desafíos del Futuro, Ciencia, Tecnología e Innovación. Los últimos pasos, hasta el 1 de septiembre de 2026, solo renuevan la urgencia. No es ley.
7 de mayo de 2024Ingreso del proyecto.
13 de octubre de 2025Oficio de la Cámara al Senado.
1 de septiembre de 2026Último trámite registrado (urgencia simple).
Limitación. Se leyó el servicio web público de tramitación del Senado. La ficha para personas (senado.cl, boletín 16821-19) no mostró el boletín al abrirla de forma automática, y la de la Cámara devolvió HTTP 403. El estado cambia: revisar antes de citar.
La Ley 21.719 de Chile, sobre datos personales, se publicó el 13 de diciembre de 2024. Debía entrar en vigencia el 1 de diciembre de 2026, con una nueva Agencia de Protección de Datos. El Ejecutivo mandó al Senado, con suma urgencia, un proyecto para postergarla al 1 de diciembre de 2027. A la fecha de la nota el proyecto estaba ingresado, no aprobado, aunque el título dice que la ley se posterga.
1 de diciembre de 2026Vigencia prevista en la ley.
1 de diciembre de 2027Nueva fecha que propone el proyecto de postergación.
Limitación. Fuente secundaria. La fecha de vigencia cambia el plan de cumplimiento de cualquier agente que trate datos de personas en Chile: confirmarla en el Diario Oficial. El estado del proyecto de ley de IA está en su propia ficha, la del Senado de Chile sobre el Boletín 16821-19.
Nota sobre Dex Horthy, autor de la guía 12-factor agents. Un año después sostiene la misma idea: un bucle grande de agente no aguanta trabajo serio sin estructura y verificación. Su empresa dejó correr tres o cuatro meses una "fábrica de software" con poca supervisión y después archivó todo el código. Según él, faltan mejores verificadores de la calidad del código.
30.000 a 40.000 líneasTamaño que llegó a tener el código de la fábrica antes de archivarlo.
10 de 30 (33,3 %)Checkpoints que pasaron los mejores modelos en el subconjunto de SlopCodeBench que cita; las diferencias entre proveedores están dentro del margen de error.
Limitación. Es una nota sobre una persona, con una anécdota propia; no es un estudio.
Es una actualización del mismo equipo que en 2025 midió la caída de precios. Siguen al modelo más barato que llega a un puntaje dado en cinco benchmarks (pruebas estándar), y simulan cuántos tokens usa cada uno. El costo de un desempeño fijo cae muy rápido. Advierten límites: los benchmarks no son trabajo útil, el usuario real no siempre cambia al modelo más barato y hay pocos años de datos.
-47 % por trimestre (13 veces por año)Caída del costo de un desempeño fijo desde 2023 (con otros promedios razonables, de 42,9 % a 58,0 % por trimestre).
75 veces por añoCaída del costo del desempeño recién llegado a la punta; dos años después cae 4,7 veces por año.
725 veces menosCosto por pregunta de 75 % en GPQA Diamond: unos 30 centavos de dólar con o3 (enero de 2025) contra 0,0004 dólares con GPT-5.6 Luna.
Limitación. No mide el costo por tarea de un agente ni si sube el costo de usar el modelo de punta. Los autores piden no leer las cifras como exactas. Aclaración agregada el 23 de septiembre de 2026.
Argentina no tiene una ley de IA sancionada, pero hay proyectos con registro nacional y clasificación por riesgo. Uno del Ejecutivo trata sobre sociedades automatizadas, pero es una reforma societaria, no una regulación de IA. El Ejecutivo prefiere no regular el uso de la IA. Rige la ley de datos personales, la Ley 25.326. La autoridad de datos emitió una resolución y una disposición sobre IA que no obligan a los privados.
Limitación. Fuente secundaria de un sitio de herramientas, no una publicación oficial. El estado de los proyectos cambia. El artículo 20 de la Ley 25.326 limita las decisiones judiciales o administrativas basadas solo en tratamiento automatizado. No es un derecho general como el del artículo 22 del reglamento europeo de datos.
La edición 2026 del estudio de BCG dice que la brecha se achicó. Casi la mitad de las empresas ya saca valor de la IA. Muchas esperan darles autonomía real a los agentes, pero casi ninguna tiene hoy los controles para hacerlo.
cerca de 48,5 %Empresas que generan valor: 7,5 % de punta (5 % en 2025) y 41 % que escalan; sobre 1.330 ejecutivos.
42 % y 5 %Esperan dar autonomía real a los agentes para 2030, y tienen hoy todos los controles.
cerca de 40 %Parte del valor de la IA que esperan de los agentes para 2030.
Limitación. Comunicado de una consultora que vende servicios de IA; autorreporte y sin detalle de cómo clasifica a las empresas. Hoy la descarga automática da 403, así que no lleva cita textual.
Hilo sobre si MCP, un protocolo que conecta agentes con herramientas, sirve o es OpenAPI reinventado. Para los defensores, MCP ya es lo normal en integraciones empresariales porque funciona como frontera de seguridad y de autenticación. Dan tres razones: telemetría (datos de uso) del lado del servidor, credenciales guardadas en el servidor y una sola integración para muchos clientes. Los críticos lo ven como una capa más sobre APIs que ya existían.
687 puntos y 363 comentariosTamaño del hilo.
Limitación. Opiniones técnicas, sin datos de adopción. Se leyó en news.ycombinator.com y en la API pública de Algolia. Las citas del hilo no se cotejaron palabra por palabra en la verificación de origen y por eso no se usan.
Colombia no tiene ley de IA. El proyecto del Gobierno, con mensaje de urgencia, se cayó sin debate el 19 de junio de 2026 porque venció el plazo. Hay dos proyectos nuevos, uno en la Cámara y otro en el Senado.
19 de junio de 2026Fecha en que se hundió el proyecto del Gobierno.
Limitación. Prensa de análisis. Los lineamientos de la Superintendencia de Industria y Comercio sobre datos personales en sistemas de IA están en la Circular Externa 002 de 2024. No se pudieron abrir y no se usan.
Hilo sobre quién es dueño de un agente seis meses después de que se va quien lo construyó. Un comentario lo compara con las viejas bases de Microsoft Access que quedaban sueltas en las empresas. Otro dice que los agentes son de los equipos, no de las personas. La propuesta más concreta es tratarlos como cuentas de servicio, que son cuentas para programas. Eso pide un inventario de qué leen y qué escriben, credenciales bajo un rol y una revisión cada tres meses.
26 puntos y 33 comentariosTamaño del hilo según el archivo. El comentario citado tiene 5 puntos.
Limitación. Subforo chico y con algunos comentarios de vendedores; vale como idea, no como consenso. La misma idea aparece en otros hilos de r/sysadmin, r/ITManagers y r/devops. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Peters-Gill, J., Semler, A., Bartsch, H., Shumailov, I., Schroeder de Witt, C. arXiv
Postura general: Matiza
Un coautor de CaMeL, una defensa contra instrucciones plantadas, muestra que sus garantías no se suman solas entre agentes. Una instrucción plantada en una base de datos es un dato, pero el orquestador la resume y otro agente la recibe como pedido confiable. En las mediciones, CaMeL en cada agente baja mucho el éxito de los ataques. Una versión que sigue el origen de los datos entre agentes cierra ese camino. El costo es utilidad, y los modelos más capaces pierden menos.
12,9 %, 0,2 % y 0,0 %Tasa de ataques exitosos sin CaMeL, con CaMeL en cada agente y con procedencia entre agentes. Es el promedio de 5 modelos, con 949 casos por modelo y configuración.
21,6 y 13,4 puntosUtilidad que pierde CaMeL por agente en 112 tareas: en promedio y en los dos modelos más fuertes. La versión entre agentes resta otros 3,2 puntos en promedio.
Limitación. Preprint. Un modelo rechazó 53,6 % de las tareas benignas aun sin CaMeL, lo que baja su utilidad de base.
Hilo sobre la IA como nuevo problema de TI en la sombra, es decir, tecnología que la gente usa sin control de TI. Una propuesta separa dos vías. La primera es un gobierno duro para lo que se publica a toda la empresa. La segunda es monitorear todos los agentes: quién los crea, qué hacen, tráfico y tokens. Otro cuenta que pedirle a quien armó una aplicación con IA que la sostenga frena la mayoría de los casos.
42 puntos y 24 comentariosTamaño del hilo según el archivo. El comentario citado tiene 9 puntos.
Limitación. Subforo chico; vale como idea, no como consenso. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Un comentario muy votado dice que, si un agente borró una base o sacó datos, el alcance ya estaba mal antes. Señala lo que se saltea: tokens con permisos de dueño y acceso a herramientas de todo o nada. Tampoco queda un registro que permita reproducir lo que pasó. Otro comentario compara la responsabilidad con la del dueño de un perro suelto.
964 puntos y 80 comentariosTamaño del hilo según el archivo. El comentario citado tiene 84 puntos.
Limitación. Opinión de practicantes de seguridad, sin casos documentados en el hilo. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Un agente que atiende alertas bajó la mediana de los incidentes de unos 40 a 12 minutos. Pero después falló un servicio viejo al que las herramientas no tienen acceso. Las 3 personas de guardia pasaron la primera hora entendiendo cómo funcionaba, porque hacía meses que nadie lo tocaba a mano. El autor propone resolver a mano algunos incidentes por mes, a propósito. Lo compara con los taxistas de Londres, que siguen aprendiendo las calles aunque tengan GPS.
de unos 40 a 12 minutosMediana de los incidentes con el agente.
105 puntos y 35 comentariosTamaño del hilo según el archivo. El comentario citado tiene 81 puntos.
Limitación. Relato de un equipo, sin medición independiente. Un comentarista dice que parece publicidad, porque el post menciona una herramienta comercial. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Según la página oficial de la Comisión Europea, el paquete Digital Omnibus cambió el calendario de la Ley de IA. Las reglas de alto riesgo del Anexo III (biometría, infraestructura crítica, educación, empleo, migración) pasaron al 2 de diciembre de 2027. El alto riesgo dentro de productos regulados (Anexo I) pasó al 2 de agosto de 2028. Ya rigen las prácticas prohibidas, la alfabetización en IA, las reglas para modelos de propósito general y la transparencia del artículo 50.
2 de febrero de 2025Rigen las prácticas prohibidas y la obligación de alfabetización en IA.
2 de agosto de 2025Rigen la gobernanza y las obligaciones para modelos de propósito general.
2 de agosto de 2026Aplicación general y reglas de transparencia del artículo 50.
2 de diciembre de 2027Reglas de alto riesgo del Anexo III (antes, 2 de agosto de 2026).
2 de agosto de 2028Alto riesgo integrado en productos regulados (Anexo I).
Limitación. Página actualizada el 19 de octubre de 2026; el calendario puede volver a cambiar. Según la Comisión y su portal Transition Pathways, las enmiendas del Omnibus rigen desde el 27 de julio de 2026. Llegaron tras el acuerdo político del 7 de mayo. Algunos blogs de cumplimiento citan un número de reglamento y un plazo para la marca de agua. No se verificaron en el Diario Oficial y no se usan.
Un responsable de TI de pymes dice que casi ninguno de sus pares despliega agentes, y muchos le responden que no. Los que sí cuentan casos angostos: agentes separados para seguridad, diagnóstico y rendimiento, con acceso de solo lectura a logs y APIs. Esos agentes analizan y recomiendan, y la persona hace el cambio. Otro usa un agente sobre su propia telemetría de red para armar resúmenes operativos.
133 puntos y 174 comentariosTamaño del hilo según el archivo.
Limitación. Relatos de practicantes, sin medición. El comentario citado tiene 26 puntos. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita se comparó letra por letra con el original.
Ficha oficial del proyecto de marco legal de IA de Brasil, con enfoque por riesgo e inspirado en la ley europea. El Senado lo aprobó el 10 de diciembre de 2024, pero todavía no es ley. En la Cámara de Diputados, una comisión especial espera el dictamen (el informe) del relator. Los últimos movimientos, del 26 y 27 de octubre de 2026, solo anexan otros proyectos.
10 de diciembre de 2024Aprobación en el Senado.
20 de mayo de 2025Designación del relator en la Cámara de Diputados.
Limitación. El estado cambia: revisar la ficha antes de citarla. Un monitor privado afirma que el relator postergó la votación hasta después de las elecciones de octubre de 2026. Eso no se verificó y no se usa.
El autor pregunta qué hace la lista de baja de empleados con los agentes que lanzó esa persona. El agente sigue corriendo con una cuenta de servicio o una clave que ya no es de nadie. Un comentario propone que el dueño sea un campo obligatorio al crear la clave o la cuenta. También propone rotar la clave (cambiarla por una nueva) antes de apagar el agente, para ver quién depende de él.
6 puntos y 7 comentariosTamaño del hilo según el archivo.
Limitación. Hilo con muy poco puntaje: vale como idea, no como consenso. Se leyó en el archivo público Arctic Shift porque reddit.com bloquea la lectura automática. La cita está en el texto del post y se comparó letra por letra.
Son los precios de lista de los modelos de Anthropic, consultados el 1 de noviembre de 2026 y revisados el 2 de noviembre. Entre el modelo más caro y el más barato de la misma generación hay una brecha de 40 veces. La página también documenta costos que no se ven en la tabla. El tokenizador nuevo corta el mismo texto en más tokens, que son las unidades que se cobran. La inferencia solo en EE. UU. cuesta más, y declarar herramientas de navegador o de uso de computadora suma miles de tokens de entrada por pedido.
US$ 4 y US$ 20Claude Opus 5.5: entrada y salida por millón de tokens (lectura de caché: US$ 0,20).
US$ 2 y US$ 10Claude Sonnet 5.5: entrada y salida por millón de tokens (lectura de caché: US$ 0,10).
US$ 0,10 y US$ 0,50Claude Haiku 5.5, con prompts de hasta 100.000 tokens: entrada y salida por millón.
US$ 15 y US$ 75Claude Opus 4 y 4.1, el tope de gama de 2025: entrada y salida por millón.
cerca de 30 % más tokensEfecto del tokenizador nuevo para el mismo texto.
50 % menosDescuento por procesamiento en lote (Batch API); no aplica a sesiones de agentes interactivas.
1,1 vecesMultiplicador de precio por pedir inferencia solo en EE. UU.
Limitación. Los precios vencen rápido: revisarlos antes de usar estas cifras. Haiku 5.5 cuesta más con prompts de más de 100.000 tokens. El precio por token no es el costo por tarea: depende de cuántas vueltas da el agente y de cuánto contexto reenvía.
Son los precios de lista de Gemini, consultados el 1 de noviembre de 2026 y revisados el 2 de noviembre. Muestran que los precios también suben: Google duplica el precio de Gemini 3.8 Flash desde el 1 de enero de 2027. La salida incluye los tokens de razonamiento, que el modelo genera para pensar antes de responder.
US$ 0,75 y US$ 3,75Gemini 3.8 Flash hasta el 31 de diciembre de 2026: entrada y salida por millón de tokens.
US$ 1,50 y US$ 7,50Gemini 3.8 Flash desde el 1 de enero de 2027.
US$ 2 y US$ 12Gemini 3.1 Pro Preview, con prompts de hasta 200.000 tokens.
Limitación. Los precios vencen rápido, y este ya tiene fecha de cambio: revisarlo antes de usar estas cifras. La investigación de origen dice que Gemini 3.6 Flash también sube; eso no se volvió a comprobar.
Son los precios de lista de los modelos de OpenAI, consultados el 1 de noviembre de 2026 y revisados el 2 de noviembre. Entre el modelo más caro y el más barato de la familia gpt-6 hay una brecha de 100 veces. El precio del nivel medio casi no cambió desde 2024. Lo que mejoró es la capacidad por dólar.
US$ 10 y US$ 50gpt-6-astra: entrada y salida por millón de tokens (entrada en caché: US$ 1).
US$ 2 y US$ 10gpt-6.1-sol: entrada y salida por millón de tokens.
US$ 0,10 y US$ 0,50gpt-6-luna: entrada y salida por millón de tokens.
US$ 2,50 y US$ 10gpt-4o, como referencia de 2024: entrada y salida por millón.
10 % másRecargo por procesamiento regional en modelos lanzados desde el 5 de marzo de 2026.
Limitación. Los precios vencen rápido: revisarlos antes de usar estas cifras. La página no muestra fecha de actualización. Los modelos de razonamiento facturan como salida tokens que no se ven. Por eso, el precio por token no alcanza para estimar el costo por tarea.
Tabla pública de resultados del Remote Labor Index. A comienzos de noviembre de 2026, el mejor agente hace al nivel profesional cerca de 1 de cada 5 proyectos freelance reales. Al lanzarse el benchmark, un año antes, el mejor llegaba a 2,5 %.
21,25 %Tasa de automatización del primero de la tabla (Opus 5.5). Le siguen GPT 6 Astra (20,83 %), Fable 5.1 (17,92 %) y Gemini Argon 4 (17,08 %).
Limitación. La página no muestra fecha: la fecha es la de la consulta (2 de noviembre de 2026) y la tabla puede cambiar. La mantiene Scale AI, coautora del benchmark. Cerca de 4 de cada 5 proyectos siguen sin llegar al nivel profesional.
Tabla pública de resultados del conjunto público de SWE-Bench Pro. Con modelos de 2026, el mejor ya resuelve más de la mitad: cerca de 6 de cada 10 problemas. Un año antes, en el paper, el mejor llegaba a 43,6 %. El conjunto comercial privado no tiene una tabla actualizada.
61,50 % (± 3,10)Primero de la tabla (Muse Spark 1.1), sobre 731 tareas.
59,10 %, 51,90 % y 46,10 %gpt-5.4 (xHigh), claude-opus-4-6 (thinking) y gemini-3.1-pro (thinking).
Limitación. La página no muestra fecha: la fecha es la de la consulta (2 de noviembre de 2026). La mantiene Scale AI, autora del benchmark. La página del conjunto comercial solo repite las cifras del paper.
La forma de la insignia dice qué clase de fuente es. Llena: un documento con método o un texto oficial (paper, norma, especificación, registro, fallo). Con borde: datos declarados (encuesta, precio). Punteada: un relato (post técnico, prensa, Reddit, Hacker News).
El fondo y la marca de cada celda dicen la postura general. Azul y cuadrado lleno: a favor. Naranja y cuadrado vacío: en contra. Gris y cuadrado rayado: matiza.
La postura general es la posición de la fuente frente a los agentes: a favor, en contra o matiza. Dentro de cada afirmación, la fuente va en el grupo que corresponde a esa afirmación. Ese grupo puede ser otro (cómo se decide).
La marca “No se pudo abrir” señala una fuente que nadie pudo leer en el original. El sitio no la presenta como hecho.
Las reglas que cumple cada fuente están en la metodología.