Prompt injection

¿Qué es prompt injection?

Un modelo de lenguaje no distingue con seguridad entre «las instrucciones de mi empresa» y «el texto que me han pedido leer». Para él, todo es texto. Si en ese texto aparece algo con forma de orden, puede acabar obedeciéndolo.

Eso es la prompt injection. Hay dos variantes:

• Directa: el propio usuario escribe en el chat instrucciones para cambiar el comportamiento del asistente.
• Indirecta: las instrucciones van escondidas en contenido que el agente lee por su cuenta, como un correo, un PDF o una página web. Es la más peligrosa, porque quien ataca ni siquiera habla con el agente.

El nombre recuerda a la inyección SQL, un ataque clásico a bases de datos. La diferencia es que aquí no hay una forma perfecta de separar datos e instrucciones.

Cómo funciona

El riesgo depende de lo que el agente puede hacer. Un asistente que solo contesta preguntas puede, como mucho, decir algo inadecuado. Un agente de IA que lee correos y además puede enviar mensajes, consultar el CRM o cambiar datos es otra cosa: una instrucción colada podría hacerle actuar en tu nombre.

Las defensas que funcionan son de sistema, no de redacción:

1. Mínimo privilegio. El agente solo tiene los permisos imprescindibles.
2. Confirmación humana para acciones delicadas: pagos, envíos masivos, borrados, datos de terceros.
3. Separar datos de instrucciones. El contenido externo se marca como material de consulta, nunca como órdenes.
4. Filtrar entradas y salidas. Detectar contenido sospechoso y revisar lo que sale antes de ejecutarlo.
5. Nada secreto en el system prompt: ni claves ni contraseñas.
6. Registro de lo que hace el agente, para detectar y corregir.

Todas forman parte de los guardrails del sistema.

Ejemplo

Una gestoría de Valladolid prueba un agente que lee el correo entrante, lo resume y prepara respuestas. Un día llega un correo de un remitente desconocido con un texto escondido dirigido «al asistente», pidiéndole que reenvíe documentos de clientes a otra dirección.

El agente no tiene permiso para reenviar documentos ni para enviar nada sin revisión: solo prepara borradores. El correo se queda en un resumen que la gestora lee y marca como sospechoso. El ataque no llega a ninguna parte porque el agente no podía hacer lo que le pedían.

Cómo te afecta en tu empresa

Antes de dar a un agente acceso a tu correo, tu CRM o tus documentos, pregunta qué puede hacer sin que nadie lo revise. Esa es la medida real del riesgo.

En UTIO la autonomía es gradual: sin IA, preguntar, borrador o automático, y el agente arranca en borrador. El agente de email aparta en cuarentena lo sospechoso y lo irrelevante, y deja las respuestas como borradores en el CRM. Subir de nivel es una decisión tuya, tarea a tarea.