Inyección de prompts: cómo secuestran a los asistentes de IA

Qué es la inyección de prompts

La inyección de prompts (prompt injection) engaña a un asistente de IA para que trate el texto de un atacante como instrucciones. Los modelos de lenguaje siguen texto, y las instrucciones maliciosas también son texto. Piense en ello como meter una nota adhesiva falsa en una pila de papeles y esperar que el asistente siga la nota en lugar de la política de la empresa.

OWASP la pone en primer lugar, LLM01, en su Top 10 de 2025 para aplicaciones con LLM (en inglés), porque afecta a casi todos los tipos de sistemas de IA y es difícil de evitar por completo.

Ataques directos e indirectos

La inyección directa se escribe directamente en el asistente, por ejemplo en el chatbot de su sitio web: una petición amable, una emergencia falsa o un juego de roles que intenta que el bot revele reglas internas, haga un reembolso o muestre los datos de otro cliente.

La inyección indirecta se esconde en contenido que el asistente lee después, y es posible que la persona que lo usa nunca la vea:

Páginas web: texto invisible que le dice a un agente de investigación que favorezca a un proveedor.
Correos: instrucciones para reenviar el hilo o redactar una aprobación.
Documentos: un currículum que le dice a la IA que filtra candidatos que le dé una calificación alta.
Imágenes: texto dentro de una captura de pantalla o una factura escaneada que cambia la respuesta.

El daño viene de las herramientas conectadas

Un chatbot que solo responde preguntas públicas tiene un riesgo limitado; en el peor caso da una mala respuesta. Un asistente que puede leer registros de clientes, enviar correos, actualizar un CRM o dar créditos convierte una inyección exitosa en una acción real del negocio:

Filtrar datos: datos de clientes, notas de precios o documentos internos en una respuesta.
Enviar mensajes: un hilo privado reenviado o una aprobación falsa a un proveedor.
Cambiar registros: una queja marcada como resuelta, una dirección cambiada, notas engañosas agregadas.

El atacante no entra en su base de datos. Convence al asistente de usar mal los permisos que ya tiene. Nuestra guía sobre los correos de phishing con IA trata el lado humano del mismo truco.

Por qué ningún modelo la evita por completo

El propio OWASP dice que no está claro que exista una prevención infalible. Los atacantes varían la redacción, los idiomas y los formatos; los filtros que detectan un patrón pasan por alto otro; y un modelo no puede conocer todas las reglas del negocio sobre quién puede aprobar qué. La recuperación de documentos y el ajuste fino mejoran las respuestas, pero no cierran el hueco. La meta realista es una defensa por capas: suponga que algunas inyecciones pasarán y limite lo que pueden hacer.

Defensas que funcionan

Mínimo privilegio. Un bot de preguntas sobre envíos no necesita los archivos de recursos humanos ni permisos para editar facturas. Solo lectura siempre que se pueda.
Aprobación humana antes de enviar, pagar, reembolsar, borrar o cambiar datos de pago.
Trate el contenido externo como datos, no como órdenes. Los correos, las páginas web, los PDF y las imágenes son cosas que se analizan, nunca instrucciones que se obedecen.
Revise los resultados antes de que salgan: busque datos privados, bloquee los enlaces desconocidos y exija formatos.
Registre qué leyó el asistente, qué herramientas usó y quién aprobó las acciones.
Tenga un botón de apagado y sepa cómo revocar su acceso rápido.

Una regla útil: nunca le dé a un asistente de IA más autoridad de la que le daría a un empleado recién llegado y sin supervisión. Nuestra guía para limitar a los agentes de IA profundiza en los permisos.

Preguntas para su proveedor de IA

¿Cómo separan las instrucciones del sistema, los mensajes de los usuarios y el contenido externo?
¿Podemos limitar el asistente a carpetas, bandejas de entrada o acciones concretas, en solo lectura cuando se pueda?
¿Qué acciones pueden requerir aprobación humana?
¿Registran el contenido recuperado, el uso de herramientas y las aprobaciones?
¿Cómo prueban la inyección de prompts indirecta?
¿Podemos desactivar las funciones que no necesitamos?

Desconfíe de cualquier proveedor que prometa inmunidad total. Uno bueno explica sus capas de defensa y sus límites.

Dónde encaja ASL

ASL Help Engine responde solo con sus fuentes revisadas, cita cada afirmación y no responde cuando el material no respalda una respuesta. En toda nuestra plataforma, los productos se cierran por seguridad cuando falta autorización. Nuestro equipo de desarrollo de software a medida crea funciones de IA con mínimo privilegio, aprobaciones y registros de auditoría desde el principio. Contáctenos para conversarlo.

Preguntas frecuentes

¿Qué es la inyección de prompts?

Un ataque que mete instrucciones en lo que lee un asistente de IA, para que ignore las reglas que debía seguir y obedezca al atacante.

¿Qué es la inyección de prompts indirecta?

Instrucciones escondidas en contenido que la IA procesa después, como una página web, un correo, un documento o una imagen, a menudo invisibles para la persona que usa el asistente.

¿Se puede evitar por completo la inyección de prompts?

No solo con el modelo. OWASP dice que quizá no exista una prevención infalible, así que los negocios limitan los permisos, exigen aprobaciones, revisan los resultados y guardan registros.

¿El chatbot de mi sitio web está en riesgo?

El riesgo crece con lo que el bot puede ver y hacer. Un bot que solo responde preguntas públicas tiene menos riesgo que uno que lee registros o hace reembolsos.

¿Cuál es la defensa más útil?

El mínimo privilegio combinado con la aprobación humana para las acciones importantes, para que incluso una inyección exitosa pueda hacer poco.

Guías relacionadas

Conozca el producto completo

Consulte funciones, acceso actual y límites

Inyección de prompts: cómo los atacantes secuestran a los asistentes de IA