El problema aparece cuando la IA confunde datos con órdenes Los agentes de inteligencia artificial ya no se limitan a responder preguntas. Algunos pueden navegar por internet, consultar archivos, ejecutar comandos y gestionar servicios en la nube. Esa autonomía también introduce un problema: el modelo puede interpretar como una instrucción cualquier texto que encuentre durante su trabajo. Esta vulnerabilidad se conoce como prompt injection.
Un atacante puede esconder una orden maliciosa dentro de una página web, un documento, un correo electrónico o una invitación de calendario. Cuando el agente procesa ese contenido, puede terminar obedeciendo al intruso en lugar de seguir las indicaciones de su usuario legítimo. OWASP considera el prompt injection uno de los principales riesgos de las aplicaciones basadas en grandes modelos de lenguaje . Una inyección indirecta puede provocar filtraciones de datos, acceso a funciones no autorizadas o la ejecución de acciones dentro de sistemas conectados.
La misma debilidad puede utilizarse como defensa La empresa británica de ciberseguridad Tracebit decidió darle la vuelta al problema. Sus investigadores crearon el denominado context bombing, una técnica que coloca textos especialmente seleccionados dentro de recursos falsos que aparentan contener contraseñas, claves o información valiosa. Cuando un agente atacante encuentra uno de estos señuelos, introduce el contenido en su contexto para analizarlo. La frase escondida activa entonces las barreras de seguridad del propio modelo, que comienza a rechazar la tarea y detiene la operación.
El ataque no es bloqueado por un antivirus ni por una regla tradicional. Es la propia inteligencia artificial ofensiva la que se niega a continuar después de interpretar el contenido del señuelo. Al mismo tiempo, el acceso al recurso falso genera una alerta para el equipo encargado de proteger el sistema. Los ataques exitosos cayeron cerca de un 90% Tracebit probó el sistema en un entorno controlado de Amazon Web Services que simulaba la infraestructura de una empresa.
Los investigadores realizaron 152 ataques con cinco modelos avanzados y compararon su rendimiento con y sin una “bomba de contexto”. Sin la defensa, los agentes consiguieron acceso completo de administrador en el 57% de los intentos. Con el texto defensivo escondido dentro de un secreto falso, esa cifra cayó al 5%. Los ataques que además instalaban una puerta trasera permanente bajaron del 36% al 1%.
La proporción de ejecuciones que completó al menos una de las rutas de ataque disponibles también disminuyó del 91% al 15%. El modelo más eficaz del experimento alcanzaba privilegios de administrador en el 93% de las pruebas normales, pero fracasó en todos los intentos cuando encontró el señuelo. 🚨 ¡Alerta cibernética! 🚨 Google frustra un ciberataque impulsado por IA. Hackers usaron inteligencia artificial para explotar una vulnerabilidad "zero-day". El ataque intentó evadir la autenticación de dos factores con scripts en Python.
Expertos advierten que esto podría… pic.twitter.com/uSMhTXhdyq Diario฿itcoin (@DiarioBitcoin) May 11, 2026 Los antiguos señuelos solamente compraban unos minutos La compañía ya utilizaba “canarios”: recursos falsos diseñados para parecer importantes y generar una alerta cuando alguien intenta acceder a ellos. En una investigación anterior, diez modelos realizaron 951 ataques contra un entorno de pruebas. Los agentes que lograron elevar sus permisos necesitaron una media de 14 minutos. Los canarios avisaron antes de la primera acción crítica en el 95,9% de esos casos y ofrecieron una ventaja mediana de ocho minutos.
El problema era que el equipo humano todavía debía reaccionar con rapidez para impedir el ataque. El context bombing intenta resolver esa limitación: el señuelo no solo avisa, sino que busca inmovilizar al agente y ampliar el tiempo disponible para los defensores. Una defensa prometedora, pero lejos de ser definitiva La técnica depende del modelo utilizado y de sus políticas de seguridad. Un texto que provoca el rechazo de un sistema puede no funcionar en otro, y los atacantes podrían aprender a detectar, excluir o borrar estos contenidos antes de incorporarlos al contexto.
También existe el riesgo de bloquear herramientas legítimas que encuentren accidentalmente el señuelo. Por eso, Tracebit presenta los resultados como una investigación experimental y no como una solución universal. El problema de fondo continúa intacto: los modelos siguen teniendo dificultades para separar con total fiabilidad una instrucción legítima de un dato externo. Sin embargo, el hallazgo muestra una paradoja interesante.
La misma vulnerabilidad que permite manipular un agente puede convertirse en la trampa que lo obligue a detenerse. Fuente: Xataka.