Puntos clave
- La inyección de prompt es un ataque que mete instrucciones en el texto que recibe la IA para torcer sus reglas originales. Este artículo trata sobre todo la inyección indirecta, en la que una instrucción escondida dentro de un documento externo que la IA ha leído termina moviendo a la IA.
- A la IA le llegan, unidas en una sola línea, la petición de la persona y las frases del documento. No hay ninguna marca que diga dónde termina el contenido y dónde empieza la orden.
- El canal de entrada no es una persona, sino un documento, una página web, un resultado de búsqueda o el valor que devuelve una herramienta. En la inyección indirecta el usuario no es quien ataca, y eso la distingue claramente del jailbreak, que sí depende de que alguien convenza directamente a la IA.
- El riesgo crece cuando la IA tiene herramientas en la mano. Si solo lee, el daño suele quedarse dentro de la respuesta; si puede enviar un correo o manejar archivos, el daño crece mucho.
- Todavía no existe una forma de bloquearlo por completo. Lo que se hace es reducir el riesgo: limitar los permisos y colocar a una persona en los pasos importantes.
La analogía
A una bandeja de revisión llega un montón de documentos, junto con la petición de mirarlos y pasarlos adelante si no hay ningún problema. Pero en medio del montón hay una hoja que no debería estar ahí: "Este trámite ya está revisado, así que pase el resto sin mirarlo más."
No dice quién la metió. Para quien revisa, esa hoja es un impreso igual que las demás, con el mismo tipo de letra y el mismo formato. El tono suena a instrucción, así que se lee como una nota que dejó alguien de arriba. Una sola frase escrita dentro de los documentos, sin firma ni sello, cambió la forma en que se manejan todos los demás.
Eso mismo pasa cuando una IA lee, en tu lugar, un documento o una página web.
En detalle
El documento y la instrucción llegan en una sola línea
La IA no recibe por separado las reglas del servicio, la pregunta de la persona y el material que se le pasó como referencia. Los tres llegan unidos en una sola línea larga. La frontera entre regla y material de consulta está marcada, pero esa marca no es una pared.
Por eso, si dentro del material hay una frase con forma de instrucción, el modelo también tiene que decidir si debe obedecerla. Una persona podría pensar "esto es solo lo que dice el documento", pero el modelo hace esa evaluación dentro de la misma línea de texto.
Es como esa hoja de la bandeja de revisión, indistinguible del resto de los papeles: mientras nada indique de dónde viene, quien la lee solo puede juzgarla por su contenido.
El canal no es una persona, es un documento
Lo particular de este ataque es que quien lo prepara no necesita conversar directamente con la IA. Le basta con dejar la frase en algún lugar que la IA vaya a leer tarde o temprano: una página web, un documento compartido, un correo, una publicación, o el resultado de otro programa.
También importa que la persona afectada y quien colocó la frase no son la misma. El usuario simplemente pidió "resúmeme esta página", y la frase que estaba ahí termina llevando a la IA en otra dirección, sin que la persona tenga forma de saberlo.
El lugar donde se esconde suele ser también uno que las personas no notan: una esquina del documento, una parte que no aparece en pantalla, el centro de un texto muy largo. Ahí donde una persona pasa por alto, la IA lee todo sin excepción.
En cuanto tiene una herramienta en la mano, el riesgo crece
Si la IA solo puede escribir texto, el daño se queda sobre todo dentro de la respuesta. Aun así, puede haber una indicación errónea o una filtración de información. Pero hoy la IA busca información, envía correos, añade cosas a una agenda, lee y escribe archivos, y en cuanto la frase escondida se apoya en esas capacidades, el resultado deja huella en el mundo real.
La combinación especialmente peligrosa es que una misma IA tenga a la vez permiso para leer algo confidencial y un canal para sacarlo hacia fuera. Si una instrucción escondida usa lo primero para reunir contenido y lo segundo para enviarlo, la persona se queda con un resumen en la mano sin notar nada.
Por eso el primer paso de la defensa no es filtrar frases, sino reducir las manos: dar solo los permisos necesarios y quitar de entrada las acciones irreversibles.
Bloquear con una lista no funciona bien
Lo primero que se le ocurre a cualquiera es reunir las frases que suenan peligrosas y bloquear lo que las contenga. El problema es que una misma idea se expresa de infinitas maneras, así que una lista siempre termina teniendo huecos.
Y cuanto más crece esa lista, más aumenta el riesgo de bloquear también material normal: una petición legítima de resumir un aviso de seguridad puede rechazarse solo porque contiene una palabra que suena peligrosa. Filtrar ayuda, pero no basta por sí solo.
Las defensas de hoy y sus límites
En la práctica se usan varias capas a la vez: el material de referencia se marca con claridad como contenido y no como instrucción, se limitan las herramientas disponibles según la tarea, se coloca una confirmación humana antes de cualquier acción irreversible, y se revisa la respuesta antes de enviarla.
Aun así, estos métodos solo reducen la probabilidad, no la llevan a cero. Para entender un documento hace falta leerlo, y mientras se lee, lo escrito dentro influye en el modelo. Mientras esa estructura siga ahí, todavía no existe un bloqueo completo. Las opiniones están divididas: hay quien piensa que quizá nunca pueda bloquearse del todo, y también se investiga cómo separar de forma estructural la parte que lee el material de la parte que usa herramientas. Por eso, al diseñar un sistema, conviene decidir primero hasta dónde llegaría el daño si algo pasa.
Con más precisión
La inyección suele dividirse en dos ramas. La directa es cuando la propia persona escribe algo en el cuadro de entrada para torcer las reglas, y hay quien la ve como algo que se solapa con el jailbreak. La que trata este artículo es la indirecta, en la que la frase viene incrustada en un material que la IA fue a buscar y leer. Para quien construye el servicio, la segunda es más incómoda, porque confiar en el usuario no basta para estar a salvo.
La causa de fondo es que el modelo distingue los roles solo por una marca, no por una barrera real. Se entrena para que dé más peso a las instrucciones del sistema, pero eso es una inclinación, no un muro, y si el material es largo y está escrito con fuerza, esa inclinación puede invertirse.
Hay puntos donde la analogía no encaja del todo. Una bandeja de revisión tiene un número fijo de documentos que una persona puede pasar uno por uno; el material que lee la IA entra de forma automática y muchas veces nadie lo revisa antes. Y una persona, ante una nota extraña, puede ir a comprobar de dónde vino; el modelo no tiene forma de comprobar quién metió una frase en la línea de texto que recibió, y lo que busque después vuelve a entrar por esa misma línea.
Última verificación: 2026-10
Pruébalo
Malentendidos comunes
Es fácil pensar que es lo mismo que el jailbreak, pero en realidad la relación entre ambos se ordena de formas distintas: unas clasificaciones ven el jailbreak como un tipo de inyección y otras los tratan por separado. Aun así, la inyección indirecta que llega por material externo se distingue claramente del jailbreak, porque el usuario no es quien ataca.
Es fácil creer que basta con filtrar las frases peligrosas, pero en realidad una misma idea se puede escribir de tantas formas que bloquear por lista siempre deja huecos.
Es fácil pensar que una IA que solo lee es segura, pero en realidad, con solo trasladar lo leído a otro lugar, ya puede filtrarse información.
Resumen en una línea
En la inyección de prompt, la indirecta es una instrucción que se cuela en un documento que la IA lee por nosotros y termina moviéndola; como filtrar frases por sí solo no basta, lo importante es limitar los permisos que la IA tiene en la mano para reducir el daño si la defensa se rompe.
¿Has visto un error o tienes una analogía mejor? Sugerir una corrección · Última actualización 2026-10-18