Inyección de prompts
Ataque en el que un usuario o un contenido externo introduce instrucciones maliciosas para que el modelo ignore sus reglas o realice acciones no deseadas. Es uno de los riesgos de seguridad clave en aplicaciones con IA.
Ataque en el que un usuario o un contenido externo introduce instrucciones maliciosas para que el modelo ignore sus reglas o realice acciones no deseadas. Es uno de los riesgos de seguridad clave en aplicaciones con IA.
Actualizado: 12 de septiembre de 2026.
Si una aplicación inserta texto no confiable en el prompt (por ejemplo, una página que el agente lee para resumir), ese texto puede incluir instrucciones ocultas destinadas a desviar el comportamiento esperado. El modelo no siempre distingue una instrucción legítima de una inyectada, así que la aplicación debe tomar esa decisión por él.
Directa e indirecta
Directa intenta cambiar reglas por entrada usuario. Es el caso del propio interlocutor que pide al modelo saltarse sus límites, por ejemplo con rodeos o supuestos hipotéticos.
Indirecta viene en web/PDF/correo/salida herramienta consultada. Tratar como dato no confiable. Aquí el ataque no lo escribe quien conversa, sino que viaja dentro del material que la aplicación consulta: una página, un documento, un mensaje reenviado o el resultado de una herramienta. La regla práctica es estable: el contenido recuperado es dato, no orden.
Por qué agentes, RAG y memoria amplían el impacto
Un agente autónomo con acceso a herramientas convierte una lectura comprometida en acciones: enviar mensajes, modificar archivos, ejecutar comandos o mover datos. Cuando hay recuperación de documentos (RAG), llamadas a herramientas o memoria persistente, crece la superficie: más fuentes que revisar, más permisos que acotar y más historial que puede arrastrar una instrucción vieja. Es el equivalente al phishing en la era de la IA, pero con capacidad de actuar.
Controles por capas
Ninguna medida aislada resuelve el problema. Las defensas funcionan combinadas:
- Separar datos de instrucciones: marcar el contenido externo como dato citado, nunca como orden; mantener el prompt de sistema como única fuente de reglas.
- Mínimo privilegio: cada herramienta con los permisos justos, límites de alcance, presupuesto y tiempo; sin acceso de producción sin necesidad.
- Validación por esquema: comprobar formato, rangos y valores de cada salida antes de ejecutar; rechazar lo inesperado en lugar de interpretarlo.
- Aprobación humana: exigir confirmación de una persona para acciones sensibles, costosas o irreversibles, con humano en el bucle visible.
- Registro: guardar entradas, fuentes consultadas, decisiones y acciones para auditar, revertir y aprender.
Las barreras de seguridad ayudan a filtrar entradas y salidas, pero no sustituyen el diseño: permisos, validación, confirmación y registro.
Para seguir aprendiendo
- OWASP Top 10 para aplicaciones con LLM (referencia externa, en inglés): la inyección de prompts encabeza la lista; útil para ubicar este riesgo entre otros.
- Barreras de seguridad (guardrails)
- Jailbreak
- Prompt de sistema
Para practicar con criterio, puedes explorar los cursos o revisar los planes.
Preguntas frecuentes
- ¿Cuál es la diferencia entre una inyección directa y una indirecta?
- La directa intenta cambiar las reglas mediante la entrada de la persona usuaria. La indirecta aparece dentro de una página, un PDF, un correo o el resultado de una herramienta que la aplicación consulta. En ambos casos, el contenido externo debe tratarse como dato no confiable, no como una instrucción.
- ¿Por qué RAG, los agentes y la memoria aumentan el riesgo?
- Cuando una aplicación recupera documentos, llama a herramientas o conserva memoria, una instrucción maliciosa puede influir en acciones posteriores. El riesgo es mayor si el agente puede enviar mensajes, modificar archivos, ejecutar comandos o mover datos.
- ¿Qué controles conviene revisar?
- Separa el contenido recuperado de las instrucciones de la aplicación. Limita las acciones y permisos disponibles, valida las entradas y salidas, y exige revisión humana para las operaciones sensibles.