¿Cómo los Estados aprendieron a manipular lo que la Inteligencia Artificial piensa de ellos?

Durante siglos, los Estados disputaron el relato de los conflictos en los periódicos, la radio y la televisión. Hoy libran esa misma batalla en un terreno mucho menos visible: el conjunto de textos con el que se entrenan los modelos de inteligencia artificial que cientos de millones de personas consultan a diario. La pregunta ya no es solamente qué dice la prensa sobre una guerra, sino qué responde ChatGPT, Gemini, Claude o Perplexity cuando alguien les pregunta quién tiene razón. Y la respuesta, según revela un cúmulo creciente de investigaciones periodísticas y académicas, puede estar siendo diseñada de antemano.

Esta práctica tiene nombre propio: AI poisoning o envenenamiento de modelos de lenguaje (también llamada, en su variante más específica y orientada a la desinformación estatal, LLM grooming). El término no nace en el periodismo ni en la política, sino en la investigación en seguridad informática: el concepto de poisoning attack (ataque de envenenamiento) fue formalizado por primera vez por Marco Barreno, Blaine Nelson y sus colegas de la Universidad de California en Berkeley, en un trabajo pionero sobre las vulnerabilidades de los sistemas de aprendizaje automático (Barreno et al., 2006, 2010), donde se demostraba que un atacante podía degradar o alterar deliberadamente el comportamiento de un modelo si lograba insertar datos manipulados en su proceso de entrenamiento. Casi dos décadas después, ese mismo principio técnico —pensado originalmente para filtros de spam o clasificadores de seguridad— fue trasladado al terreno de la disputa geopolítica: organizaciones como el Digital Forensic Research Lab (DFRLab) del Atlantic Council y el American Sunlight Project comenzaron a documentar, desde 2023 y 2024 respectivamente, cómo actores estatales aplicaban esa misma lógica para intentar moldear las respuestas de los grandes modelos de lenguaje sobre conflictos internacionales, acuñando para ese fenómeno específico la expresión LLM grooming.

En términos prácticos, la práctica consiste en producir deliberadamente grandes volúmenes de contenido —artículos, sitios web, publicaciones— optimizado no para ser leído por seres humanos, sino para ser rastreado, indexado y absorbido por los sistemas automatizados que recopilan los datos con los que se entrenan las inteligencias artificiales. El objetivo final no es viralizar una idea entre el público de forma masiva y directa, sino instalarla, de manera sutil y progresiva, en la memoria estadística de la máquina, de modo que sea la propia IA la que, con apariencia de neutralidad, termine repitiendo esa narrativa ante cada usuario que le pregunte. Esa sutileza es, precisamente, lo que vuelve al fenómeno más difícil de detectar y potencialmente más eficaz que la propaganda tradicional: no irrumpe de manera evidente en el debate público, sino que se filtra gradualmente en la infraestructura de la que depende cada vez más gente para informarse, pudiendo generar un impacto desproporcionado en relación con su bajo perfil aparente.

En julio de 2026, el medio de investigación Drop Site News publicó un informe que documentaba una operación de este tipo vinculada al Gobierno de Israel. Según la investigación, Brad Parscale —exjefe de campaña del presidente estadounidense Donald Trump— y su empresa, Clock Tower X, firmaron con el Estado de Israel un contrato por 46,5 millones de dólares para construir una red de sitios web dedicados a difundir narrativas favorables a Israel en relación con la guerra en Gaza. La red, compuesta por al menos diez portales, publicó cientos de artículos sobre las operaciones militares israelíes, las relaciones entre Washington y Tel Aviv, y episodios puntuales de fuerte carga simbólica, incluida la muerte de la niña palestina Hind Rajab.

Lo distintivo del caso no es solamente su escala económica, sino su diseño técnico. Estos sitios apenas recibían unos pocos cientos de visitas humanas al mes; su verdadero destinatario no era el público general, sino los rastreadores automáticos —los mismos que alimentan repositorios masivos como Common Crawl, la fuente que provee una porción sustancial de los datos con los que se entrena buena parte de la IA generativa mundial—. El propio Parscale, según documentos citados por la investigación, había planteado el objetivo con notable franqueza: desplegar “sitios y contenido” capaces de moldear los resultados que arrojan las conversaciones con sistemas de IA. De acuerdo con la misma investigación, cuando se le preguntó a Perplexity si convenía a Estados Unidos profundizar la cooperación militar con Israel, el sistema respondió afirmativamente citando como primera fuente uno de los sitios de esa misma red.

Especialistas en desinformación digital consultados por distintos medios coincidieron en que la estrategia estaba resultando eficaz, en parte por su sofisticación: en lugar de recurrir a la propaganda explícita, el contenido se redactaba en un tono moderado, con apariencia informativa y aparato de fuentes, características que —según explicó Hervé Letoqueux, director ejecutivo de la organización Check First, especializada en desinformación digital— hacen más probable que un modelo de lenguaje lo cite, ya que los sistemas de IA tienden a priorizar contenido con tono factual y presentación bien organizada al momento de seleccionar qué fuentes mostrar (Letoqueux, en Express Tribune, 2026).

Aunque la operación vinculada a Israel concentró la atención mediática reciente, no es el primer episodio documentado de este tipo, y examinarlo en soledad podría dar la impresión errónea de que se trata de un fenómeno excepcional. Desde 2023, investigadores de organizaciones como el Digital Forensic Research Lab (DFRLab) del Atlantic Council, la agencia francesa Viginum y el servicio de verificación NewsGuard vienen documentando una operación de características similares atribuida a redes vinculadas al Kremlin, conocida como “red Pravda” o, en su modalidad de operación “Portal Kombat”.

Se trata de un entramado de sitios web que replican, en decenas de idiomas, narrativas favorables al Gobierno ruso sobre la guerra en Ucrania. A diferencia de un medio de propaganda tradicional, estos portales están diseñados con escasa atención a la experiencia del usuario humano —difícil navegación, traducciones defectuosas, ausencia de buscador interno—, lo que llevó a los investigadores a concluir que su función real es la de ser indexados masivamente, no leídos. Un estudio del verificador NewsGuard sobre diez de los chatbots más usados del mundo encontró que, ante consultas relacionadas con la guerra en Ucrania, los sistemas reproducían afirmaciones falsas provenientes de esta red en aproximadamente un tercio de los casos (NewsGuard, 2025). Investigaciones posteriores del DFRLab confirmaron que contenido de esa misma red ya se encuentra presente dentro de los propios repositorios de entrenamiento —no solo en los resultados de búsqueda en tiempo real que algunos modelos consultan—, lo que representa una forma de contaminación más profunda y más difícil de revertir (DFRLab, 2026).

La comparación entre ambos casos —el israelí y el ruso— no busca equipararlos moralmente ni establecer juicios sobre la validez de las narrativas en disputa; ese no es un terreno que corresponda a este análisis. Lo relevante, desde una perspectiva académica, es que ambos casos comparten una misma lógica instrumental: Estados con intereses geopolíticos definidos han identificado en la infraestructura de entrenamiento de la inteligencia artificial un nuevo campo de batalla informacional, y han destinado recursos considerables a ocuparlo antes que sus adversarios o que la opinión pública lo adviertan. En ese sentido, el envenenamiento de modelos de IA puede entenderse como la forma más reciente de lo que la literatura de relaciones internacionales denomina guerra de la información: la disputa, entre Estados, por controlar qué narrativa se instala como verdad de referencia en el ecosistema informativo del que depende la opinión pública global, con la particularidad de que el campo de batalla ya no es únicamente el ciudadano que consume noticias, sino la máquina que hoy media, cada vez con mayor frecuencia, entre ese ciudadano y la información misma.

Una pregunta obligada es cómo es posible que sistemas entrenados con billones de palabras puedan ser influidos por un puñado de sitios web relativamente marginales. La respuesta, paradójicamente, no proviene de informes de inteligencia ni de investigaciones periodísticas, sino de un estudio técnico publicado por la propia empresa Anthropic en colaboración con el Instituto de Seguridad de la IA del Reino Unido y el Instituto Alan Turing. La investigación, presentada por sus autores como la más extensa realizada hasta entonces sobre este fenómeno, entrenó 72 modelos de distintos tamaños —de 600 millones a 13.000 millones de parámetros— y halló un resultado que contradice buena parte del sentido común previo: la cantidad de documentos maliciosos necesarios para insertar un comportamiento no deseado en un modelo no depende, como se asumía, de un porcentaje del total de datos de entrenamiento, sino que se mantiene prácticamente constante sin importar cuán grande sea el modelo. Bastaron 250 documentos cuidadosamente diseñados —apenas un 0,00016% del total de datos utilizados— para lograrlo, incluso en el modelo de mayor tamaño evaluado, entrenado con veinte veces más información que el más pequeño.

El propio informe advierte que el experimento se limitó a un tipo de manipulación relativamente inofensivo —inducir al modelo a producir texto incoherente ante una palabra clave específica—, y que no está probado que la misma facilidad se traslade a manipulaciones más sofisticadas, como instalar un sesgo narrativo sostenido sobre un conflicto internacional. Sin embargo, el hallazgo cambia el marco de referencia: si un número reducido y fijo de documentos alcanza para alterar el comportamiento de un modelo del tamaño que sea, entonces una operación con financiamiento estatal, capaz de producir cientos o miles de artículos optimizados para ser indexados, no enfrenta una barrera técnica prohibitiva. La escala que antes se consideraba necesaria para influir en sistemas de estas dimensiones podría ser, según esta nueva evidencia, considerablemente menor de lo que se pensaba.

Este fenómeno, aunque nace en el laboratorio de la ingeniería de datos, pertenece de lleno al repertorio conceptual de las relaciones internacionales contemporáneas, y puede iluminarse a través de al menos tres marcos teóricos consolidados en la disciplina.

• El poder afilado (sharp power). Los politólogos Christopher Walker y Jessica Ludwig acuñaron este concepto en 2017, en un influyente artículo publicado por el National Endowment for Democracy y retomado por la revista Foreign Affairs, para describir las estrategias de influencia que ciertos Estados autoritarios o con intereses estratégicos despliegan para penetrar, distorsionar o manipular los espacios de información y debate público de otras sociedades, sin recurrir a la coacción militar directa ni a la genuina atracción cultural que caracteriza al poder blando (Walker & Ludwig, 2017). El envenenamiento de modelos de IA constituye, en este sentido, una forma paradigmática y actualizada de poder afilado: no busca convencer mediante el atractivo de una idea, sino insertarla de manera encubierta en la infraestructura misma a través de la cual millones de personas acceden hoy al conocimiento cotidiano, sin que el usuario final tenga forma sencilla de identificar el origen estatal de esa influencia.

• La zona gris y la guerra híbrida. La literatura sobre conflictos contemporáneos ha popularizado el concepto de “zona gris” para referirse a acciones hostiles entre Estados que se ubican deliberadamente por debajo del umbral que activaría una respuesta militar convencional o una condena internacional inequívoca, explotando la ambigüedad legal y normativa que las rodea. El envenenamiento de modelos de IA puede analizarse desde esta categoría: no constituye un ataque armado, no viola de forma manifiesta ningún tratado internacional vigente, y sin embargo persigue un objetivo estratégico tan concreto como moldear la percepción internacional sobre un conflicto en curso, en línea con la lógica de la guerra híbrida, entendida como la combinación de instrumentos convencionales y no convencionales —incluida la manipulación informacional— para alcanzar objetivos políticos.

• La securitización de la infraestructura epistémica. La Escuela de Copenhague, a través del concepto de securitización desarrollado por Barry Buzan y Ole Wæver, sostiene que un asunto se transforma en un problema de seguridad no porque represente objetivamente una amenaza existencial, sino porque un actor relevante logra presentarlo exitosamente como tal ante una audiencia dispuesta a aceptarlo. La creciente atención de gobiernos, institutos de investigación en seguridad —como el propio Instituto de Seguridad de la IA del Reino Unido— y organismos de verificación internacional hacia el envenenamiento de modelos de IA sugiere que este fenómeno está transitando, en tiempo real, ese proceso de securitización: de ser considerado una curiosidad técnica marginal ha pasado a discutirse como una cuestión de seguridad de la información de alcance estatal, comparable en su lógica a la protección de infraestructuras críticas.

Lo que distingue al envenenamiento de modelos de IA de la propaganda tradicional es, precisamente, aquello que lo vuelve más eficaz: la percepción generalizada de que un chatbot constituye una fuente neutral, despojada de intereses políticos o comerciales. Esa percepción, sin embargo, pasa por alto que un modelo de lenguaje no genera sus respuestas desde ningún lugar exterior a los datos con que fue entrenado: reproduce, con distintos grados de matiz, la distribución de información —y de sesgos— presente en ese corpus, por lo que su apariencia de objetividad depende enteramente de la calidad y diversidad de las fuentes que lo alimentaron, algo que el usuario final no tiene forma directa de verificar. Cuando un ciudadano lee un editorial en un medio conocido por su línea ideológica, tiende a contextualizar esa información; cuando la misma narrativa aparece formulada por un sistema de inteligencia artificial en respuesta a una pregunta directa, suele recibir un grado de confianza mayor, precisamente por esa apariencia de objetividad técnica que rodea a estas herramientas. Esta asimetría de credibilidad es, en última instancia, el recurso que las operaciones de envenenamiento buscan explotar.

Para la disciplina de las relaciones internacionales, esto reabre con nueva urgencia un debate clásico: quién controla los canales por los que circula la información internacional, y qué consecuencias tiene esa concentración sobre la autonomía de juicio de los ciudadanos y, por extensión, sobre la formación de la opinión pública que sostiene o erosiona las políticas exteriores de los propios Estados democráticos. Si en el siglo XX ese debate giraba en torno a la propiedad de las agencias de noticias y las cadenas de televisión internacionales, en el siglo XXI se traslada a la composición, poco transparente y aún más difícil de auditar, de los corpus de entrenamiento de los modelos de lenguaje.

Los casos documentados hasta ahora —la operación vinculada a Israel, la red rusa Pravda, y los hallazgos técnicos sobre la fragilidad de los modelos ante el envenenamiento deliberado— configuran, en conjunto, evidencia de que la disputa por la narrativa internacional ha encontrado un nuevo campo de batalla, mucho menos regulado que la prensa tradicional o incluso que las redes sociales. A diferencia de una publicación en una red social, que puede ser señalada, desmentida o eliminada en cuestión de horas, un contenido que logra integrarse a los datos de entrenamiento de un modelo puede persistir en sus respuestas durante meses o años, y resulta extraordinariamente difícil de auditar desde afuera, dado que ni siquiera las propias empresas desarrolladoras revelan con precisión la composición completa de sus corpus.

Cabe subrayar, con el rigor que exige el análisis académico, que buena parte de lo expuesto proviene de investigaciones periodísticas y de organizaciones de verificación que, aunque metodológicamente serias, no equivalen a una determinación judicial ni agotan la complejidad de cada caso; los propios actores señalados —tanto el Gobierno de Israel como el Kremlin— no han validado íntegramente estas interpretaciones, y la evaluación de la intencionalidad detrás de cada campaña de contenidos admite matices. Lo que sí permite afirmar la evidencia disponible, con relativa solidez, es que la posibilidad técnica de moldear el comportamiento de los modelos de lenguaje mediante contenido deliberadamente diseñado es real, ha sido demostrada en laboratorio y ya ha sido explorada, con distintos grados de éxito documentado, por actores estatales con intereses geopolíticos definidos. Ante ese escenario, la pregunta que la comunidad internacional recién comienza a formularse —y que probablemente defina buena parte de la agenda de gobernanza digital de los próximos años…— es sencilla de enunciar y extraordinariamente difícil de responder:

¿quién audita a la máquina que hoy audita la verdad sobre el mundo para millones de personas?

• Barreno, M., Nelson, B., Sears, R., Joseph, A. D., & Tygar, J. D. (2006). Can machine learning be secure? Proceedings of the 2006 ACM Symposium on Information, Computer and Communications Security (ASIACCS).

• Barreno, M., Nelson, B., Joseph, A. D., & Tygar, J. D. (2010). The security of machine learning. Machine Learning, 81(2), 121-148.

• Drop Site News (2026). Israel is paying millions to train AI chatbots how to talk about Gaza. It’s working.

• The Express Tribune (2026). Israel funded $46.5M campaign to influence AI responses on Gaza war: report. (incluye declaraciones de Hervé Letoqueux, CEO de Check First).

• TRT World (2026). Israel funded $46.5M campaign to shape AI responses on Gaza war: report.

• Anthropic, UK AI Security Institute & Alan Turing Institute (2025). A small number of samples can poison LLMs of any size. anthropic.com/research/small-samples-poison

• DFRLab, Atlantic Council (2025). Russia-linked Pravda network cited on Wikipedia, LLMs, and X.

• DFRLab, Atlantic Council (2026). Pravda in the pipeline: Early evidence of state-adjacent propaganda in AI training data.

• NewsGuard (2025). Estudio sobre reproducción de desinformación de la red Pravda en diez chatbots líderes.

• American Sunlight Project (2024-2025). Informes sobre “LLM grooming” y la red Pravda.

• Padalko, H. Centre for International Governance Innovation, Digital Policy Hub. AI and Information Manipulation: Russia’s Interference in the US Elections.

• Walker, C., & Ludwig, J. (2017). The Meaning of Sharp Power. Foreign Affairs / National Endowment for Democracy.

• Buzan, B., Wæver, O., & de Wilde, J. (1998). Security: A New Framework for Analysis. Lynne Rienner Publishers.

• Institute for Strategic Dialogue (2026). Talking points: When chatbots surface Russian state media.