Inyección de instrucciones en los datos que leen los agentes de IA

La inyección de instrucciones ocurre cuando una entrada hace que un modelo de inteligencia artificial (IA) siga órdenes no autorizadas. En inglés, el ataque se llama prompt injection. Un agente puede recibir esas órdenes en un correo, un documento o un caso de soporte. Si dispone de herramientas, puede intentar ejecutar una acción a partir de ese texto. OWASP, LLM01:2025

El Open Worldwide Application Security Project (OWASP) incluye este ataque entre los riesgos de las aplicaciones de IA. OWASP, LLM01:2025

¿Cuál es la diferencia entre la inyección directa y la indirecta?

En la inyección directa, la persona que usa el sistema introduce las instrucciones. En la indirecta, un tercero escribe el texto en un recurso que el agente consulta. El usuario puede pedir una tarea legítima y desconocer el contenido malicioso. Esta distinción aparece en la clasificación del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST). NIST AI 100-2 E2025

Tipo	Vía de entrada	Ejemplo
Directa	Mensaje al sistema	Una persona pide al modelo que revele instrucciones internas.
Indirecta	Contenido que el agente consulta	Un correo incluye una orden para enviar datos a otra dirección.

¿Cuándo puede causar daño una inyección indirecta?

El riesgo aumenta cuando un agente lee contenido externo y puede actuar en otros sistemas. Aumenta aún más cuando el sistema ejecuta la propuesta sin comprobarla. Un asistente de chat puede dar una respuesta falsa. Un agente con acceso a herramientas también puede enviar mensajes, cambiar registros o ejecutar código.

Considera un agente que lee casos de soporte y consulta pedidos. Un atacante escribe una nota que parece interna. La nota pide enviar todo el historial de pedidos a una dirección externa. El riesgo depende de los permisos del agente y de los controles del sistema.

El agente solo necesita leer el pedido asociado al caso. El sistema puede bloquear la consulta de otros pedidos. También puede exigir aprobación antes de enviar un mensaje a una dirección nueva. Así limita lo que el agente puede hacer si el modelo sigue la orden maliciosa.

¿Cómo avanza el ataque?

1. Un tercero escribe una orden en un correo, un caso de soporte o un documento.
2. El agente lee el contenido para completar una tarea legítima.
3. El modelo interpreta la orden como parte de la tarea y propone una acción.
4. El sistema comprueba los permisos y aplica la política antes de ejecutar la acción.

La separación de instrucciones y datos reduce la probabilidad de que el modelo siga la orden. Los permisos y la aprobación limitan los efectos si el modelo la sigue. El Centro Nacional de Ciberseguridad del Reino Unido considera que siempre queda un riesgo que el diseño debe gestionar. NCSC, diciembre de 2025

¿Qué controles reducen el daño?

Control	Qué reduce	Límite
Separar datos e instrucciones	La probabilidad de que el modelo trate el texto externo como una orden.	El modelo todavía puede seguir una orden oculta en texto normal.
Limitar permisos	La cantidad de datos que el agente puede leer o cambiar.	El agente todavía puede usar mal un permiso válido.
Exigir aprobación	Las acciones de alto impacto que pueden ejecutarse sin autorización humana.	Una persona puede aprobar sin revisar el detalle.
Comprobar las salidas	Las fugas de datos y las respuestas que incumplen reglas de formato.	Una acción dañina puede tener un formato válido.
Registrar y supervisar	El tiempo que un incidente puede pasar sin detección.	El registro por sí solo no detiene el primer incidente.

En 2025, IBM informó que el 13 % de las organizaciones estudiadas notificó incidentes en modelos o aplicaciones de IA. Otro 8 % no sabía si había sufrido un incidente. El 97 % de las organizaciones afectadas informó que carecía de controles de acceso adecuados para IA. El 60 % de los incidentes de IA comprometió datos. El 31 % interrumpió operaciones. IBM, julio de 2025

¿Qué decisiones debe tomar el sistema fuera del modelo?

1. Permisos. El sistema define por tarea qué datos puede consultar el agente y qué herramientas puede usar.
2. Aprobación. La aplicación decide cuándo debe intervenir una persona. La pantalla muestra la llamada real a la herramienta y sus datos.
3. Registro. La aplicación guarda qué herramienta se llamó, qué datos recibió y cuál fue el resultado. El agente carece de acceso para editar ese registro.

Una pasarela de IA puede filtrar entradas y registrar el tráfico hacia los modelos. Los permisos y la aprobación siguen dependiendo de los sistemas que controlan la acción. Qué es una pasarela de IA

Si el agente lee correos o casos de soporte, prueba una entrada maliciosa. Haz que pida enviar datos fuera de la empresa. Verifica que el sistema bloquee la acción o solicite aprobación. Comprueba después que el registro muestre el resultado. Guía de los controles para agentes de IA

Preguntas frecuentes

¿Puede un filtro eliminar la inyección de instrucciones?

Un filtro ayuda a detectar entradas sospechosas. Los controles externos limitan lo que puede ocurrir cuando una entrada supera el filtro. OWASP, LLM01:2025

¿Qué relación tiene con eludir las restricciones del modelo?

Eludir restricciones, o jailbreaking, busca que el modelo ignore sus medidas de seguridad. Una inyección indirecta describe cómo llegan las instrucciones a través de contenido externo.

¿Qué agentes tienen más riesgo?

Los agentes con acceso a contenido externo y permisos para ejecutar acciones presentan más riesgo. Los controles del sistema deben comprobar esas acciones antes de ejecutarlas.

Chiri diseña y opera software de IA para empresas. Sus sistemas aplican controles a las acciones y guardan registros para su revisión. Controles de Chiri para agentes de IA