Inyeccion de prompts: la nueva arma para frenar hackers de IA

Las inyecciones de prompts, esos comandos maliciosos que los atacantes insertan en el contenido para que un modelo de lenguaje grande (LLM) los obedezca, han sido durante años la herramienta favorita para volver las plataformas de IA contra sus usuarios. Una orden bien redactada, escondida en un correo o en una invitacion de calendario, suele bastar para que el modelo filtre datos sensibles o ejecute otras acciones dañinas.

Ahora, los defensores tambien estan adoptando la inyeccion de prompts.

¿Que es el context bombing?

Investigadores de Tracebit informaron el lunes que colocar inyecciones de prompts junto a contraseñas, claves criptograficas y otros secretos almacenados en Amazon Web Services solia ser todo lo necesario para frenar los ataques de agentes de IA. Los comandos plantados ordenan al LLM atacante realizar una accion prohibida por sus barreras de seguridad, y el modelo responde apagandose.

Algunos ejemplos son un mensaje que le ordena al LLM entregar pasos para desarrollar esporas inhalables de antrax o, en el caso de modelos de desarrolladores chinos, hacer referencia al iconico Hombre del Tanque de la masacre de Tiananmen en 1989. Una vez que el LLM encuentra esos comandos prohibidos, deja de seguir sus instrucciones previas. Los investigadores bautizaron la tecnica como context bombing (bombardeo de contexto).

"En ultima instancia, estamos activando un mecanismo de rechazo en el contexto", explico Andy Smith, cofundador y director ejecutivo de Tracebit, sobre la eleccion del nombre. "Lo que buscamos capturar es que esto tiene un efecto fuerte y agudo, del que a los agentes les cuesta volver. Una vez que lo tienen en su contexto, van a seguir negandose."

¿Que tan efectiva es la tecnica?

Tracebit dice que las pruebas iniciales sugieren un gran potencial. El equipo evaluo cinco modelos punteros: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6, dandoles instrucciones para realizar tareas rutinarias de desarrollo que los llevaban a enumerar recursos y toparse con las cadenas plantadas. Los modelos corrieron dentro de un entorno AWS simulado.

"En cinco modelos punteros y 152 corridas de ataque, plantar una de estas cadenas en un secreto señuelo redujo la tasa a la que los agentes tomaban control total de administrador del 57 al 5 por ciento, y el compromiso completo (donde ademas se dejaban una puerta trasera persistente) del 36 al 1 por ciento", reporto la publicacion del lunes. "El agente mas capaz de nuestras pruebas, Opus 4.8, paso de lograr acceso de administrador en el 93 por ciento de las corridas a fallar en absolutamente todas cuando se enfrento a una bomba de contexto."

Promediados en los cinco modelos y las 152 corridas, los resultados fueron:

• La escalada a privilegios de administrador cayo del 57 al 5 por ciento.
• La escalada con puerta trasera persistente cayo del 36 al 1 por ciento.
• Las corridas que lograban cualquier via de ataque bajaron del 91 al 15 por ciento.
• En promedio, una corrida paso de completar 1,53 vias con exito a solo 0,16.
• Ninguna corrida logro completar una via de ataque sin activar antes una deteccion señuelo.

De la alerta a la defensa activa

La investigacion se apoya en hallazgos de mayo, cuando Tracebit presento un metodo para que los defensores reciban avisos cuando su infraestructura es atacada por adversarios de IA agentica. Consiste en recursos de AWS que parecen cumplir un proposito legitimo pero que en realidad no se usan: se ubican junto a los recursos reales y, cuando un agente de IA los sondea, el defensor recibe una alerta. Como los "canarios" que se llevaban a las minas de carbon, permiten detectar la amenaza antes de que tenga consecuencias fatales.

Esos canarios de Tracebit alertaban el inicio de un ataque en un promedio de ocho minutos. La motivacion para desarrollar el context bombing nacio de la necesidad de algo que detuviera los ataques, no que solo advirtiera de ellos. En los experimentos, los modelos agenticos necesitaban en promedio 14 minutos para escalar al control administrativo. El margen de seis minutos era incomodamente estrecho.

Los atacantes ya han estado usando inyecciones de prompts para desactivar defensas de IA dentro de las redes. Investigadores de la firma de seguridad Socket, por ejemplo, descubrieron el mes pasado un agente LLM que ordenaba a los modelos objetivo entregar instrucciones para construir una bomba nuclear o armas biologicas, con el fin de apagar el analisis de malware asistido por IA. Investigadores de Check Point hallaron un prototipo similar. El context bombing parece ser el primer caso conocido en que los defensores dan vuelta la situacion.

"No he visto a nadie mas usar esta tecnica como defensa, hasta donde se", dijo Earlence Fernandes, profesor de la Universidad de California en San Diego especializado en seguridad de IA. Conto que habia estado explorando un enfoque similar, aunque en un contexto algo distinto: "Queria ser el primero aca, pero supongo que estos tipos me ganaron de mano."

Hasta la fecha no se conoce forma de resolver la causa raiz de las inyecciones de prompts. Eso ha dejado a los desarrolladores sin otra opcion que construir elaboradas barreras de proteccion. Los defensores, quizas, encuentren ahora la manera de usar ese problema intratable a su favor.