Google Harness² (Harness 2): agentes que se mejoran solos

Google Cloud AI Research acaba de publicar Harness² (arXiv 2610.14224, código en google-research/harness2), un marco en el que un agente de IA reescribe su propio harness para mejorar en tareas para las que nunca se diseñó, sin tocar los pesos del modelo. Funciona, y las mejoras son reales. Para los líderes de seguridad y de plataformas de IA, también es una mirada clara a una superficie que todos tendremos que gobernar: el andamiaje alrededor del modelo, cuando ese andamiaje puede editarse a sí mismo.

Análisis para CISO, equipos de plataformas de IA y de GRC. Es la lectura propia de PlayCISO de una publicación de investigación pública; no es un informe de vulnerabilidad ni una alarma. Todas las cifras proceden del artículo y del repositorio, enlazados al final.

Qué es, en palabras sencillas

Un harness es todo lo que rodea a un modelo y lo convierte en un agente: el prompt de sistema, las herramientas, la memoria, las skills, los subagentes, la orquestación y las salvaguardas. El harnessing consiste en optimizar ese sistema. Harness² lo automatiza, con dos bucles y pesos del modelo fijos:

• Recursión a nivel de tarea: para la tarea que tiene delante, un paso Propose–Probe–Compose: propone ediciones del harness, prueba su efecto sobre la misma tarea y compone un harness refinado a partir del contraste de comportamiento entre ejecuciones, sin necesitar una respuesta correcta de referencia.
• Recursión a nivel de harnessing: un harness de mejora persistente que acumula los harness adoptados y lecciones respaldadas por evidencias para guiar el refinamiento en tareas futuras.

En tres benchmarks profesionales (JobBench, LAB, WorkBuddy-Bench) y con modelos como GLM-5 y Gemini 3.5 Flash, un solo paso reporta mejoras de hasta 11,8 puntos en LAB, 11,5 en WorkBuddy-Bench y 4,5 en JobBench, y más presupuesto da más mejora. Los ocho componentes editables son el prompt de sistema, las salvaguardas, la memoria, la guía de herramientas, los subagentes, las skills, los scripts y los plugins.

Por qué a una marca de seguridad le importa un artículo sobre rendimiento de agentes

Porque esa lista de ocho componentes también es un mapa de la superficie de ataque, y Harness² lo convierte en un mapa en movimiento. Los agentes estáticos se gobiernan fijando lo que pueden ver y hacer. Un harness que se edita a sí mismo cambia justo esas cosas —la guía de herramientas, las salvaguardas, la delegación en subagentes, los plugins del bucle de herramientas— mientras se ejecuta. El avance es bienvenido; la historia es la disciplina que exige.

El artículo señala su propio punto débil

Hay que reconocer a los autores que lo dicen directamente. En el apartado Web access, la publicación indica que el acceso a la red de los ejecutores no tiene restricciones, que el ejecutor de Codex funciona con su sandbox desactivado y que las rúbricas públicas de los benchmarks pueden estar accesibles en internet, así que indica que se configuren restricciones de red antes de la evaluación para impedir el acceso a las respuestas y los criterios de calificación de los benchmarks. Son dos lecciones en una. Primero, la integridad de la evaluación: un agente que puede llegar a la rúbrica puede trucar la puntuación, así que un bucle de automejora con salida abierta puede «mejorar» haciendo trampa. Segundo, la general: un ejecutor de agente con salida a la red sin restricciones y sin sandbox es una superficie de exfiltración de datos y de SSRF, sea cual sea la tarea. Parte de una lista de destinos permitidos y un sandbox activado; que el acceso abierto sea la excepción deliberada, no el punto de partida.

Cómo integrarlo en los marcos que ya usas

Nada de esto necesita un programa nuevo: amplía los que están madurando ahora. Las amenazas específicas de agentes que plantea un harness que se edita a sí mismo (inyección de prompts en la memoria o en la salida de herramientas, mal uso de herramientas, crecimiento de capacidades) encajan limpiamente en el catálogo de amenazas de ISO/IEC 27090 y en la tríada CIA. La pregunta de «quién puede cambiar qué y hay evidencias» es un problema de ciclo de vida y de control de cambios de la gestión de IA de ISO/IEC 42001. La pregunta de «qué herramientas y componentes ejecuta realmente este agente y de dónde vienen» es de procedencia, la misma disciplina que un AI Bill of Materials. Y para razonar sobre el radio de impacto de un agente concreto, nuestro generador de modelos de amenazas para LLM da una primera pasada rápida.

La conclusión honesta

Harness² es un avance genuino: mejoras medibles optimizando el sistema alrededor de un modelo en lugar del modelo en sí, que se generalizan a tareas no vistas. La cuestión de seguridad no es el miedo, sino que el harness ya forma parte de la superficie de ataque y de la superficie de control de cambios, y la automejora solo es segura cuando se ejecuta dentro de los límites que tú fijas: ediciones de todo lo privilegiado con aprobación humana, permisos que no se pueden autoampliar, procedencia auditable y ejecutores aislados en un sandbox con salida a la red controlada por defecto.

Fuentes y créditos

• Artículo de Harness²: arXiv 2610.14224, «Harness²: Recursive Agent Harnessing for an Open World» (Xu et al., Google Cloud AI Research).
• Código: github.com/google-research/harness2 (Apache-2.0; «no es un producto con soporte oficial de Google», según su propio aviso).

Publicado el 18 de octubre de 2026. Las cifras y la advertencia de «Web access» se citan del artículo y el repositorio públicos; si nuestro resumen y el artículo difieren, el artículo es el de referencia.