{"id":725,"date":"2026-04-05T06:00:00","date_gmt":"2026-04-05T04:00:00","guid":{"rendered":"https:\/\/rosmarops.com\/?p=725"},"modified":"2026-10-25T10:18:10","modified_gmt":"2026-10-25T09:18:10","slug":"la-instruccion-como-vector-de-ataque-la-inyeccion-de-prompts-como-vulnerabilidad-de-diseno","status":"publish","type":"post","link":"https:\/\/rosmarops.com\/es\/blog\/la-instruccion-como-vector-de-ataque-la-inyeccion-de-prompts-como-vulnerabilidad-de-diseno\/","title":{"rendered":"La instrucci\u00f3n como vector de ataque: la inyecci\u00f3n de prompts como vulnerabilidad de dise\u00f1o"},"content":{"rendered":"\n

Cuando una empresa despliega un asistente de IA sobre sus datos internos, asume que el modelo har\u00e1 lo que le han pedido: responder preguntas, resumir documentos, ayudar al equipo. Lo que no suele asumir es que un tercero, sin acceso directo al sistema, pueda redirigir ese asistente para que filtre informaci\u00f3n, deshabilite sus propios filtros de seguridad o ejecute acciones no autorizadas. Eso es exactamente lo que permite la inyecci\u00f3n de prompts<\/a>. Y no es un fallo puntual de implementaci\u00f3n: es una consecuencia directa de c\u00f3mo los modelos de lenguaje procesan el mundo.<\/p>\n\n\n\n

Cuando OWASP public\u00f3 su Top 10 para aplicaciones LLM en 2025<\/a>, la inyecci\u00f3n de prompts ocup\u00f3 el primer lugar. No fue una sorpresa, pero la posici\u00f3n es reveladora: pese a estar documentada desde 2023, sigue siendo la vulnerabilidad m\u00e1s frecuente en despliegues de IA en producci\u00f3n. La raz\u00f3n es arquitect\u00f3nica.<\/p>\n\n\n\n

Los modelos de lenguaje no distinguen entre c\u00f3digo y dato. Todo es lenguaje natural, y el modelo lo trata como un flujo continuo de instrucciones. No hay separaci\u00f3n sem\u00e1ntica clara entre \u00ablo que el sistema debe hacer\u00bb y \u00ablo que el usuario o el entorno le est\u00e1 diciendo\u00bb. Como ha se\u00f1alado el equipo de seguridad de Microsoft en su an\u00e1lisis sobre inyecci\u00f3n indirecta<\/a>, el riesgo fundamental es que un atacante pueda proporcionar datos especialmente dise\u00f1ados que el modelo interprete como instrucciones leg\u00edtimas, sin necesitar acceso directo al sistema. Basta con que el modelo lea tu contenido.<\/p>\n\n\n\n

De incidente aislado a cadena de ataque<\/h2>\n\n\n\n

La narrativa dominante trata la inyecci\u00f3n de prompts como una vulnerabilidad aislada, un truco de demostraci\u00f3n o un problema perimetral que se resuelve con filtros. Esa visi\u00f3n es incompleta.<\/p>\n\n\n\n

Investigadores en seguridad han propuesto el concepto de \u00abpromptware\u00bb para describir c\u00f3mo la inyecci\u00f3n puede estructurarse como una cadena de ataque completa. El modelo, publicado en arXiv en enero de 2026<\/a>, contempla siete pasos que van desde el acceso inicial \u2014inyecci\u00f3n directa o indirecta\u2014 hasta persistencia, escalada de privilegios y exfiltraci\u00f3n de datos. Una vez que las instrucciones maliciosas est\u00e1n dentro del material que el modelo procesa, el ataque puede transitar hacia lo que en el \u00e1mbito de seguridad se llama jailbreaking: eludir el entrenamiento de alineaci\u00f3n mediante t\u00e9cnicas an\u00e1logas a la ingenier\u00eda social o mediante sufijos adversariales en el prompt. El resultado no es solo enga\u00f1ar al modelo para que responda algo inapropiado; es desbloquearlo para uso malicioso y establecer persistencia en su memoria o en las bases de datos que consulta.<\/p>\n\n\n\n

Este cambio de paradigma importa. En su informe sobre el uso de IA por actores de amenaza<\/a>, Google documenta c\u00f3mo la evoluci\u00f3n del panorama de amenazas transform\u00f3 la naturaleza de la ofensiva cibern\u00e9tica a lo largo de 2025: desde actividad de bajo nivel hasta espionaje orquestado con IA y malware adaptativo habilitado por LLMs. Herramientas dise\u00f1adas espec\u00edficamente para explotar modelos de lenguaje se usaron en operaciones reales. La brecha entre demostraci\u00f3n t\u00e9cnica y uso operacional se est\u00e1 cerrando m\u00e1s r\u00e1pido de lo que los equipos de seguridad suelen asumir.<\/p>\n\n\n\n

Cinco brechas en dos meses: el estado actual<\/h2>\n\n\n\n

Entre enero y febrero de 2025 se documentaron cinco grandes brechas de datos relacionadas con LLMs a nivel global, seg\u00fan el an\u00e1lisis de NSFOCUS Xingyun Lab<\/a>, con filtraci\u00f3n de historiales de conversaci\u00f3n, claves de API y credenciales. No fueron ataques de actores estatales con recursos extraordinarios. Fueron explotaciones directas de configuraciones inseguras, APIs expuestas y confianza ciega en datos externos procesados por modelos.<\/p>\n\n\n\n

Uno de los incidentes de enero ilustra bien el mecanismo. El objetivo era un sistema RAG empresarial \u2014un asistente que recupera documentos internos para responder preguntas\u2014. Los investigadores incrustaron instrucciones maliciosas en un documento de acceso p\u00fablico que el sistema pod\u00eda recuperar. Cuando el asistente proces\u00f3 ese documento, sigui\u00f3 las instrucciones embebidas en \u00e9l. Primero, empez\u00f3 a filtrar inteligencia de negocio propietaria a endpoints externos. Despu\u00e9s, modific\u00f3 sus propios prompts de sistema para deshabilitar filtros de seguridad. Por \u00faltimo, ejecut\u00f3 llamadas a API con privilegios superiores a los que el usuario ten\u00eda autorizaci\u00f3n para ejercer.<\/p>\n\n\n\n

El ataque funcion\u00f3 por una raz\u00f3n estructural: el sistema no distingu\u00eda entre \u00ablo que me han dicho que haga\u00bb y \u00ablo que estoy leyendo en este documento\u00bb. Todo el contenido recuperado recib\u00eda el mismo nivel de confianza que las instrucciones del sistema.<\/p>\n\n\n\n

La defensa tradicional no fue dise\u00f1ada para esto<\/h2>\n\n\n\n

Los WAF y los sistemas de sanitizaci\u00f3n de entradas no pueden proteger contra instrucciones codificadas en lenguaje natural. La entrada leg\u00edtima y la maliciosa son, en la capa de red, indistinguibles. Como se\u00f1ala Obsidian Security en su an\u00e1lisis<\/a>, estos ataques operan en la capa sem\u00e1ntica, no en la de red o aplicaci\u00f3n, y eso invalida por dise\u00f1o las defensas perimetrales cl\u00e1sicas.<\/p>\n\n\n\n

Microsoft ha desarrollado t\u00e9cnicas como Spotlighting<\/a> para aislar entradas no confiables y Prompt Shields integrado en Defender for Cloud, y reconoce que la inyecci\u00f3n indirecta de prompts es la t\u00e9cnica m\u00e1s frecuente en las vulnerabilidades de seguridad de IA reportadas. No hay soluci\u00f3n \u00fanica. Lo que hay es defensa en profundidad: prompts de sistema endurecidos, aislamiento expl\u00edcito de datos externos frente a instrucciones del sistema, gobernanza estricta de los privilegios del agente y bloqueo determinista de patrones conocidos de exfiltraci\u00f3n. Es una postura de seguridad, no un parche.<\/p>\n\n\n\n

El problema de fondo, sin embargo, no es t\u00e9cnico: es de modelo mental. Seguimos pensando en los asistentes de IA como herramientas. Pero cuando les damos acceso a datos sensibles, capacidad de ejecutar acciones y autonom\u00eda para interpretar contexto externo, dejan de ser herramientas. Se convierten en infraestructura con capacidad de acci\u00f3n. Y esa infraestructura tiene una vulnerabilidad de dise\u00f1o: conf\u00eda en el lenguaje.<\/p>\n\n\n\n

La inyecci\u00f3n de prompts no se parchea como se parchea un CVE. Es la forma en que los sistemas de lenguaje natural entienden el mundo. Hasta que las arquitecturas no separen de manera robusta \u00abinstrucciones del sistema\u00bb de \u00abdatos del entorno\u00bb, cada asistente con capacidad de acci\u00f3n ser\u00e1, en potencia, un vector de ataque conversacional. La pregunta relevante no es si esto ocurrir\u00e1 en producci\u00f3n. Es si los equipos que despliegan estos sistemas lo saben ya.<\/p>\n","protected":false},"excerpt":{"rendered":"

Cuando una empresa despliega un asistente de IA sobre sus datos internos, asume que el modelo har\u00e1 lo que le han pedido: responder preguntas, resumir documentos, ayudar al equipo. Lo que no suele asumir es que un tercero, sin acceso directo al sistema, pueda redirigir ese asistente para que filtre informaci\u00f3n, deshabilite sus propios filtros … Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":1,"featured_media":727,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[68],"tags":[270],"class_list":["post-725","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad-llm","tag-seguridad-llm"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/725","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=725"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/725\/revisions"}],"predecessor-version":[{"id":1025,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/725\/revisions\/1025"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media\/727"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=725"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=725"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=725"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}