Nivel : Intermedio
La inyección de prompts explicada de forma sencilla, y cómo protegerse
Por La redacción de Info Agent IA ·
La inyección de prompts consiste en colar, dentro de un texto que una IA va a leer, frases redactadas como instrucciones, para que las siga en lugar de las suyas. En un simple chat suele ser inofensiva, pero se convierte en un riesgo de seguridad real en cuanto un agente de IA lee su correo o navega por la web en su nombre.
El problema en una imagen
Imagine un asistente personal muy diligente al que le confía su correspondencia. Usted le dice: «Lee estas cartas y resúmelas». En una de ellas, un desconocido escribió en letra diminuta, al pie de la página, una nota dirigida al asistente en la que le pide enviar también una copia de su agenda de contactos a un tercero. Una persona sensata detectaría la maniobra. Un asistente que obedece todo podría hacerlo sin pensarlo.
Ese es exactamente el mecanismo de la inyección de prompts: una instrucción escondida dentro de unos datos, que la IA confunde con una orden legítima.
Por qué una IA cae en la trampa
Un gran modelo de lenguaje (LLM), el motor de ChatGPT, Claude o Gemini, lo recibe todo como texto, pegado de corrido: las instrucciones del diseñador (el prompt de sistema), su petición y luego el contenido que debe procesar, como una página web, un documento o un correo. Dentro del modelo no existe un muro hermético entre «lo que me piden» y «lo que estoy leyendo». Una frase bien construida en un documento puede pesar tanto como una instrucción real.
El término lo propuso Simon Willison en una entrada de blog del 12 de septiembre de 2022, un día después de que Riley Goodside publicara demostraciones con GPT-3. Hace eco de la inyección SQL, una falla web conocida en la que datos maliciosos se interpretan como comandos.
La comparación tiene sus límites, y ahí está justamente el problema. Contra la inyección SQL, los desarrolladores cuentan con métodos probados para separar estrictamente los datos de los comandos. En un modelo de lenguaje esa separación no existe de la misma manera: todo es lenguaje natural. Tampoco basta con prohibir algunas frases sospechosas, porque una misma intención puede formularse de mil maneras y en cualquier idioma. Por eso las defensas actuales buscan sobre todo limitar las consecuencias de una inyección exitosa, más que prometer que nunca ocurrirá.
Directa o indirecta: dos familias
| Tipo | De dónde viene el texto trampa | Quién lo ve | Situación típica |
|---|---|---|---|
| Directa | De la persona que escribe a la IA | Esa misma persona | Un usuario intenta que el chatbot de atención al cliente ignore sus reglas |
| Indirecta | De un contenido externo que la IA procesa | A menudo nadie | Una página web, un PDF o un correo contiene instrucciones invisibles |
La inyección directa afecta sobre todo a las empresas que despliegan un chatbot: un visitante intenta que diga o haga algo que no debería. La inyección indirecta le concierne más a usted: con frecuencia no ve nada, porque el texto puede estar escrito en blanco sobre fondo blanco, metido en los metadatos de un archivo o perdido en medio de una página larga.
Por qué los agentes lo cambian todo
Con un chatbot clásico, una inyección exitosa produce, en el peor de los casos, una respuesta errónea o sesgada. Usted la lee y puede juzgarla. Con un agente, lo que está en juego es distinto. Un agente usa la llamada a herramientas: puede enviar un correo, rellenar un formulario, hacer clic en un botón o modificar un archivo. Una instrucción oculta puede entonces convertirse en una acción real, con sus propios accesos.
Veamos un caso verosímil. Usted le pide a un agente que ordene su bandeja de entrada y responda los mensajes urgentes. Uno de los correos, enviado por un desconocido, contiene un pasaje invisible redactado como una instrucción dirigida al asistente, que le pide reenviar ciertos mensajes a una dirección externa. Si el agente tiene permiso para enviar correos sin validación, puede obedecer sin que usted note nada.
Los navegadores con agente integrado están especialmente expuestos, porque leen páginas escritas por cualquiera mientras tienen acceso a sus sesiones abiertas. Según la ficha del sitio, Perplexity describe para su navegador Comet una defensa en varias capas: clasificadores, solicitudes de confirmación y una auditoría externa. Estas medidas reducen el riesgo sin eliminarlo. Nuestra guía sobre los riesgos de confiar sus cuentas a un agente de IA detalla las precauciones que conviene tomar.
Las defensas de las empresas y los desarrolladores
OWASP recomienda combinar varias medidas, que pueden resumirse así:
- Acotar el comportamiento del modelo con instrucciones precisas sobre su función y sus límites.
- Definir y validar el formato esperado de las respuestas.
- Filtrar lo que entra y lo que sale, con salvaguardas que detecten contenidos sospechosos.
- Aplicar el mínimo privilegio: darle al agente solo los accesos que su tarea requiere.
- Exigir una aprobación humana para las acciones de riesgo, según el principio del humano en el circuito.
- Separar y señalar el contenido externo, para que el modelo sepa qué proviene de una fuente no confiable.
- Probar el sistema con regularidad simulando ataques.
Ninguna de estas medidas basta por sí sola. Es su combinación lo que dificulta un ataque y limita los daños.
Lo que usted puede hacer en la práctica
- Otorgue el mínimo acceso. Un agente que resume sus correos no necesita permiso para enviarlos.
- Conserve la validación de las acciones sensibles: pagos, envíos, borrados, cambios en una cuenta.
- No deje a un agente solo con su banco, su correo de trabajo o sus trámites ante la administración.
- Desconfíe de las respuestas que se desvían: un cambio de tema repentino, un enlace inesperado, una solicitud de datos personales.
- Ajuste la privacidad de sus asistentes para limitar lo que podría filtrarse: siga nuestro tutorial sobre la configuración de privacidad de ChatGPT, Claude y Gemini.
- Evalúe una tarea antes de delegarla con nuestra herramienta ¿Puedo confiarle esto a un agente?.
Para una visión de conjunto sobre lo que ocurre con sus datos, lea nuestra guía sobre IA y privacidad. Y como los estafadores adoptan rápido las nuevas técnicas, tenga presentes también las estafas con IA más comunes.
Póngase a prueba Un agente debe resumirle una página web. La página contiene un pasaje oculto que le pide abrir su correo. ¿Qué ajuste limita más los daños?
Darle al agente permiso solo para leer la página, sin acceso a su correo, y exigir su confirmación antes de cualquier acción. Aunque el agente «crea» la instrucción oculta, no podrá ejecutarla.
Preguntas frecuentes
¿La inyección de prompts puede afectar a un usuario común de ChatGPT?
Sí, en cuanto el asistente lee un contenido que usted no escribió: una página web, un PDF o un correo. La mayoría de las veces el efecto se limita a una respuesta sesgada o engañosa. El riesgo se vuelve serio cuando el asistente puede actuar, por ejemplo enviar un mensaje o rellenar un formulario.
¿Es lo mismo que un jailbreak?
No exactamente. Un jailbreak busca que el modelo genere un contenido que normalmente rechaza. La inyección de prompts apunta más bien a desviar una aplicación o un agente: hacer que ignore sus instrucciones, revele datos o ejecute una acción que usted no pidió.
¿Los modelos nuevos son inmunes?
No. Resisten mejor algunos ataques, pero OWASP, una fundación de referencia en seguridad informática, señala que no está claro que exista una prevención infalible. Por eso las empresas combinan varias capas de defensa.
¿Cómo saber si un agente fue desviado?
Las señales típicas son una acción que usted no pidió, una respuesta que cambia de tema de golpe o un enlace inesperado hacia un sitio desconocido. Detenga la tarea, revise el historial de lo que hizo el agente y cambie sus contraseñas si alguna cuenta pudo verse afectada.