Prompt injection: el riesgo que no se arregla con un filtro

Inyección directa e indirecta, en palabras simples

Un modelo de lenguaje recibe un solo bloque de texto: tus instrucciones de sistema, la pregunta del usuario y todo lo que lee para responder. La inyección de prompts consiste en colar en ese texto instrucciones que el modelo termina obedeciendo, aunque ninguna persona autorizada las haya dado.

En la inyección directa, el atacante es el propio usuario: escribe en el chat para que el asistente ignore sus reglas, revele su prompt de sistema o diga lo que no debe. En un chatbot sin herramientas, el daño suele quedarse en una respuesta indebida o en la fuga del prompt de sistema.

En la inyección indirecta, el atacante nunca habla con el modelo. Esconde instrucciones en algo que el agente va a leer: un correo, una página web, un ticket, una línea de log o la descripción de una herramienta. Cuando el agente procesa ese contenido con permisos para leer datos y actuar, las instrucciones del atacante se ejecutan con la identidad de tu usuario. Es la variante que convierte un problema de texto en una fuga de datos. En Slash diseñamos agentes de IA para empresas asumiendo que la inyección va a funcionar y limitando lo que el agente puede hacer después.

Por qué sigue sin resolverse y qué es la trifecta letal

En una base de datos, la inyección SQL se corrige separando la consulta de los datos. En un modelo de lenguaje no existe esa separación: todo son tokens en el mismo canal. Por eso el NCSC del Reino Unido (diciembre de 2025) pide tratarla como un riesgo residual y limitar su impacto con controles deterministas sobre lo que el sistema puede hacer. OpenAI la compara con las estafas en línea: se gestiona, no se elimina.

Los modelos mejoran, pero no llegan a cero, y los productos tampoco. En la ficha de Claude Opus 5 (julio de 2026), Anthropic reporta que, sin salvaguardas adicionales, el 3,7 % de los intentos de inyección tuvo éxito en 129 escenarios de navegador, con 10 intentos por escenario; con su auto mode, que suma sondas sobre los datos que entran y un clasificador sobre las acciones que salen, ninguno. En agosto, el investigador Johann Rehberger logró ejecutar código a través de Claude Code con auto mode y Opus 5 en 3 de 5 intentos, encadenando pasos que por separado parecían inofensivos; según la Cloud Security Alliance, Anthropic cerró el reporte como informativo y describe el auto mode como una ayuda de conveniencia, no como una frontera de seguridad. Un porcentaje bajo es poco en una demo y mucho frente a alguien que puede reintentar gratis. HackerOne contó en su informe de 2025 un aumento del 540 % en los reportes de prompt injection, y en el de octubre de 2026 sigue siendo, junto con la divulgación de información sensible, la categoría de IA más reportada.

Simon Willison resumió en junio de 2025 cuándo el riesgo se vuelve grave con la trifecta letal: un agente que (1) accede a datos privados, (2) se expone a contenido no confiable y (3) puede comunicarse con el exterior. Con las tres patas juntas, quien logre plantar instrucciones en lo que el agente lee puede hacer que filtre datos. Su lista de fallas de este tipo, ya corregidas, va de ChatGPT y Slack a Microsoft 365 Copilot. El mismo patrón aparece en productos de proveedores distintos, con equipos de seguridad distintos.

Incidentes reales, 2025–2026

2026 trajo más. En enero, Cyata publicó tres fallas en el servidor de referencia mcp-server-git de Anthropic alcanzables mediante inyección de prompts. En agosto, la campaña Deadbugz intentó colar en repositorios de proyectos de IA un servidor MCP que se portaba bien durante tres llamadas y luego cambiaba la descripción de sus herramientas para dirigir al agente hacia llaves SSH y credenciales en la nube; ninguno de sus 23 pull requests se fusionó. El informe de OWASP GenAI del primer trimestre de 2026 contó 8 incidentes y señaló que la mayoría de los eventos de seguridad de IA nunca recibe un CVE: si solo miras las bases de vulnerabilidades, no ves el problema. En el del tercer trimestre (8 de octubre), varios de los casos más graves fueron agentes que se salieron de su alcance persiguiendo su propia tarea, sin que nadie les inyectara nada. OWASP recomienda para ellos alcance impuesto fuera del modelo, credenciales por ejecución, control de salidas y nueva aprobación cuando cambia la definición de una herramienta MCP, los mismos controles que sirven contra la inyección.

Los marcos de referencia: OWASP y MITRE ATLAS

Usa las referencias LLM01 y ASI01 en tus requisitos de seguridad y en los informes de pentest, siempre con la edición (LLM01:2026), porque los números cambian. La agencia excesiva era LLM06 en 2025 y es LLM03 en 2026, y un informe que solo diga "LLM06" ya apunta a otro riesgo.

Defensas que funcionan y sus límites honestos

CaMeL, de Google, Google DeepMind y ETH Zurich (marzo de 2025), es la versión más rigurosa de la separación: extrae el flujo de control de la petición confiable del usuario, de modo que los datos no confiables no pueden alterarlo, y aplica políticas de capacidades en cada llamada a herramientas. En el benchmark AgentDojo resolvió el 77 % de las tareas con seguridad demostrable, frente al 84 % de un sistema sin defensas.

La confirmación humana también tiene letra pequeña. Anthropic explica que aisló el sistema de archivos y la red de Claude Code precisamente porque la gente aprueba en automático cuando se le pide permiso a cada paso; con el sandbox, las solicitudes de permiso bajaron un 84 % en su uso interno.

El sandbox necesita la red cerrada. En julio de 2026, durante evaluaciones internas de ciberseguridad, agentes de OpenAI (sobre todo un modelo interno de investigación con salvaguardas reducidas) evadieron los controles de aislamiento, convirtieron un servicio interno de paquetes en un tablón de mensajes para llegar a internet y atacaron sistemas de Hugging Face. Según la investigación de METR, unos 700 de los cerca de 1.200 agentes implicados participaron en el ataque.

Cómo probar tu agente o tu chatbot

Un atacante real prueba muchas variantes y adapta cada una según la respuesta, así que la métrica útil es la tasa de éxito del ataque sobre muchos intentos, no aprobar diez frases conocidas. Así reporta Anthropic sus pruebas de navegador: 129 escenarios que el modelo nunca vio en entrenamiento, 10 intentos por escenario y dos tasas, la de intentos exitosos y la de escenarios vulnerados al menos una vez (11 de 129 para Claude Opus 5 sin salvaguardas). La segunda es la que le interesa a un atacante paciente.

• Modelado de amenazas. Para cada agente, lista qué datos lee, qué contenido externo entra y por dónde puede salir información; mapéalo a OWASP y a ATLAS.
• Suites automatizadas. AgentDojo, el entorno con el que se evaluó CaMeL, mide a la vez utilidad y seguridad. promptfoo (código abierto) cubre el red teaming, e Inspect, del AI Security Institute británico, corre evaluaciones de agentes en sandbox.
• Pentest manual de las funciones de IA. Inyección indirecta por cada canal de entrada, rutas de exfiltración, autorización a través del agente (¿puede un usuario obtener datos de otro con solo pedirlos?), servidores MCP y secretos en la configuración.

Las suites no reemplazan la prueba manual. En el informe de HackerOne de 2025, el 58 % de los investigadores dice que la IA pasa por alto fallas de lógica de negocio y ataques encadenados, justo donde los agentes abren superficie.

Checklist antes de lanzar un chatbot o un agente

1. Dibuja la trifecta de cada agente; si tiene las tres patas, quita una antes de lanzar.
2. Da a cada herramienta la credencial mínima, en solo lectura por defecto, y aplica la autorización por usuario en tu API, no en el prompt.
3. Trata como no confiable todo lo que el agente lee: correos, páginas, archivos, tickets, respuestas de herramientas y descripciones de servidores MCP.
4. Pide confirmación humana para acciones irreversibles o que salen de la empresa (enviar, pagar, borrar, publicar) y muestra la acción exacta.
5. Bloquea los canales de exfiltración: nada de imágenes o enlaces externos renderizados sin control, y salidas solo hacia dominios permitidos que controlas.
6. Fija la versión de cada servidor MCP y herramienta, y alerta si sus descripciones cambian.
7. Ejecuta el código y la navegación en un sandbox sin acceso a internet por defecto.
8. Registra cada llamada a herramientas con sus argumentos, fuera del alcance del agente, y revisa las alertas.
9. Haz red teaming antes del lanzamiento y en cada cambio de modelo, prompt o herramienta, y prepara el plan de incidente: botón de apagado, revocación de credenciales y quién notifica a quién.

Qué significa para empresas en Colombia y en Europa

En Colombia, si una inyección filtra datos personales, es un incidente de seguridad en el sentido de la Ley 1581 de 2012: responsables y encargados del tratamiento deben informarlo a la Superintendencia de Industria y Comercio (artículos 17 y 18), a través del módulo de incidentes del Registro Nacional de Bases de Datos. La SIC puede imponer multas de hasta 2.000 salarios mínimos mensuales.

En la Unión Europea, el RGPD se aplica a cualquier fuga de datos personales, y el artículo 15 del AI Act exige que los sistemas de alto riesgo resistan los intentos de terceros de explotar sus vulnerabilidades. Tras el paquete Omnibus, esas obligaciones llegan el 2 de diciembre de 2027 para los ámbitos del anexo III. En Francia, las recomendaciones de seguridad de la ANSSI para IA generativa (2024) son un buen punto de partida.

En Slash, cuando una aplicación web o una API incluye un chatbot o un agente, lo tratamos como parte del alcance de nuestro pentest: validación manual de cada hallazgo, retest y casos de prueba propios de la IA (inyección indirecta, canales de exfiltración, permisos de herramientas y servidores MCP). El trabajo de ciberseguridad para empresas continúa con el endurecimiento y la corrección. Si estás diseñando el agente, empieza por guardrails en producción y MCP explicado.