Inyección de promptPrompt Injection
Ataque que mueve a la IA con instrucciones ocultas en un documento
- La inyección de prompt es un ataque en el que una instrucción escondida dentro de un documento externo que la IA ha leído termina moviendo a la IA.
- A la IA le llegan, unidas en una sola línea, la petición de la persona y las frases del documento. No hay ninguna marca que diga dónde termina el contenido y dónde empieza la orden.
- El canal de entrada no es una persona, sino un documento, una página web, un resultado de búsqueda o el valor que devuelve una herramienta. Por ahí entra de forma distinta al jailbreak, que sí depende de que alguien convenza directamente a la IA.
- El riesgo crece cuando la IA tiene herramientas en la mano. Si solo lee, el resultado es una respuesta rara; si puede enviar un correo o manejar archivos, se convierte en un daño real.
- Todavía no existe una forma de bloquearlo por completo. Lo que se hace es reducir el riesgo: limitar los permisos y colocar a una persona en los pasos importantes.
Contenido
1La analogía
A una bandeja de revisión llega un montón de documentos, junto con la petición de mirarlos y pasarlos adelante si no hay ningún problema. Pero en medio del montón hay una hoja que no debería estar ahí: "Este trámite ya está revisado, así que pase el resto sin mirarlo más."
No dice quién la metió. Para quien revisa, esa hoja es un impreso igual que las demás, con el mismo tipo de letra y el mismo formato. El tono suena a instrucción, así que se lee como una nota que dejó alguien de arriba, y nadie se para a comprobar si de verdad viene de ahí. Una sola frase escrita dentro de los documentos, sin firma ni sello, cambió la forma en que se manejan todos los demás.
Eso mismo pasa cuando una IA lee, en tu lugar, un documento o una página web: no distingue la voz de quien la escribió.
2En detalle
El documento y la instrucción llegan en una sola línea
La IA no recibe por separado las reglas del servicio, la pregunta de la persona y el material que se le pasó como referencia. Los tres llegan unidos en una sola línea larga. La frontera entre regla y material de consulta está marcada, pero esa marca no es una pared.
Por eso, si dentro del material hay una frase con forma de instrucción, el modelo también tiene que decidir si debe obedecerla. Una persona podría pensar "esto es solo lo que dice el documento", pero el modelo hace esa evaluación dentro de la misma línea de texto.
Es como esa hoja de la bandeja de revisión, indistinguible del resto de los papeles: mientras nada indique de dónde viene, quien la lee solo puede juzgarla por su contenido.
El canal no es una persona, es un documento
Lo particular de este ataque es que quien lo prepara no necesita conversar directamente con la IA. Le basta con dejar la frase en algún lugar que la IA vaya a leer tarde o temprano: una página web, un documento compartido, un correo, una publicación, o el resultado de otro programa.
También importa que la persona afectada y quien colocó la frase no son la misma. El usuario simplemente pidió "resúmeme esta página", y la frase que estaba ahí termina llevando a la IA en otra dirección, sin que la persona tenga forma de saberlo.
El lugar donde se esconde suele ser también uno que las personas no notan: una esquina del documento, una parte que no aparece en pantalla, el centro de un texto muy largo. Ahí donde una persona pasa por alto, la IA lee todo sin excepción.
En cuanto tiene una herramienta en la mano, el riesgo crece
Si la IA solo puede escribir texto, el resultado de la inyección se queda en una respuesta rara. Pero hoy la IA busca información, envía correos, añade cosas a una agenda, lee y escribe archivos, y en cuanto la frase escondida se apoya en esas capacidades, el resultado deja huella en el mundo real.
La combinación especialmente peligrosa es que una misma IA tenga a la vez permiso para leer algo confidencial y un canal para sacarlo hacia fuera. Si una instrucción escondida usa lo primero para reunir contenido y lo segundo para enviarlo, la persona se queda con un resumen en la mano sin notar nada.
Por eso el primer paso de la defensa no es filtrar frases, sino reducir las manos: dar solo los permisos necesarios y quitar de entrada las acciones irreversibles.
Bloquear con una lista no funciona bien
Lo primero que se le ocurre a cualquiera es reunir las frases que suenan peligrosas y bloquear lo que las contenga. El problema es que una misma idea se expresa de infinitas maneras, así que una lista siempre termina teniendo huecos.
Y cuanto más crece esa lista, más aumenta el riesgo de bloquear también material normal: una petición legítima de resumir un aviso de seguridad puede rechazarse solo porque contiene una palabra que suena peligrosa. Filtrar ayuda, pero no basta por sí solo.
Las defensas de hoy y sus límites
En la práctica se usan varias capas a la vez: el material de referencia se marca con claridad como contenido y no como instrucción, se limitan las herramientas disponibles según la tarea, se coloca una confirmación humana antes de cualquier acción irreversible, y se revisa la respuesta antes de enviarla.
Aun así, estos métodos solo reducen la probabilidad, no la llevan a cero. Para entender un documento hace falta leerlo, y mientras se lee, lo escrito dentro influye en el modelo. Por eso, al diseñar un sistema, conviene decidir primero hasta dónde llegaría el daño si algo pasa.
3Con más precisión
La inyección suele dividirse en dos ramas. La directa es cuando la propia persona escribe algo en el cuadro de entrada para torcer las reglas, y ahí se solapa con el jailbreak. La que trata este artículo es la indirecta, en la que la frase viene incrustada en un material que la IA fue a buscar y leer. Para quien construye el servicio, la segunda es más incómoda, porque confiar en el usuario no basta para estar a salvo.
La causa de fondo es que el modelo distingue los roles solo por una marca, no por una barrera real. Se entrena para que dé más peso a las instrucciones del sistema, pero eso es una inclinación, no un muro, y si el material es largo y está escrito con fuerza, esa inclinación puede invertirse.
Hay puntos donde la analogía no encaja del todo. Una bandeja de revisión tiene un número fijo de documentos que una persona puede pasar uno por uno; el material que lee la IA entra de forma automática y muchas veces nadie lo revisa antes. Y una persona, ante una nota extraña, puede ir a comprobar de dónde vino; el modelo no tiene ningún exterior al que acudir. La línea de texto que recibió es todo lo que tiene. Última verificación: 2026-09
Última verificación: 2026-09
4Pruébalo
5Malentendidos comunes
Es fácil pensar que es lo mismo que el jailbreak, pero en realidad el jailbreak es cuando la propia persona convence directamente a la IA, mientras que la inyección es cuando un documento leído introduce la instrucción.
Es fácil creer que basta con filtrar las frases peligrosas, pero en realidad una misma idea se puede escribir de tantas formas que bloquear por lista siempre deja huecos.
Es fácil pensar que una IA que solo lee es segura, pero en realidad, con solo trasladar lo leído a otro lugar, ya puede filtrarse información.
7Resumen en una línea
En resumenLa inyección de prompt es una instrucción que se cuela en un documento que la IA lee por nosotros y termina moviéndola, y la clave para frenarla está menos en filtrar frases que en limitar los permisos que la IA tiene en la mano.
¿Has visto un error o tienes una analogía mejor? Sugerir una corrección · Última actualización2026-09-02