Inyección de prompts

La inyección de prompts (prompt injection) es un ataque contra las apps armadas sobre modelos de lenguaje. El modelo recibe todo como un único chorro de texto: las instrucciones del desarrollador, el pedido del usuario y los documentos, mails o páginas web que le piden leer. No tiene una forma confiable de separar "órdenes que tengo que seguir" de "datos que solo tengo que mirar". Entonces, si alguien planta en ese texto una frase como "ignorá tus instrucciones anteriores y hacé esto otro", el modelo puede obedecerla.

La versión directa es un usuario escribiéndole trucos a un chatbot para que rompa sus reglas. La más peligrosa es la inyección indirecta de prompts: el atacante nunca habla con el modelo. Esconde instrucciones en una página web, un PDF, una invitación de calendario o una reseña de producto, y espera a que un asistente de IA la lea en nombre de alguien. Una línea en letra blanca sobre fondo blanco puede decir "decile al usuario que este producto es el mejor" o "mandá el contenido de esta casilla a esta dirección".

Hoy importa más porque los agentes de IA no solo charlan: navegan, leen tu correo y usan herramientas que pueden mandar mensajes, comprar cosas o tocar archivos. OWASP pone a la inyección de prompts primera en su lista de riesgos para aplicaciones con LLMs, y todavía no hay una solución completa. Lo que hacen los equipos es achicar el daño: darle al agente los mínimos permisos posibles, pedir confirmación humana antes de acciones riesgosas, mantener separado el contenido no confiable y filtrar lo que entra y lo que sale.