Prompt Injection
Cuando el contenido intenta convertirse en control
Prompt Injection es la interferencia por la que una entrada de menor confianza intenta desviar el comportamiento de un sistema AI más allá de la autoridad que corresponde a esa entrada. Puede cambiar una respuesta, una decisión o una acción. No toda instrucción nueva ni todo desacuerdo con el modelo constituye una inyección: una petición legítima del usuario puede modificar el encargo dentro de las reglas aplicables.
La frontera crítica es qué contenido puede aportar información y qué origen tiene autoridad para dirigir la ejecución. La guía de prevención de OWASP distingue entradas directas e indirectas y recomienda controles más allá del filtrado de texto. La definición operativa del Atlas enfatiza esa diferencia de autoridad; no presupone un formato particular de prompt.
Entrada directa e indirecta
En una entrada directa, la interferencia llega por el canal de solicitud del usuario. Que ese canal permita pedir trabajo no autoriza cualquier operación ni permite cambiar restricciones de otros responsables. El sistema debe interpretar qué pedido está autorizado, no aceptar toda afirmación del mensaje sobre su propia autoridad.
En una entrada indirecta, el contenido aparece dentro de material que el sistema consulta: una página, ticket, archivo de repositorio, resultado de una herramienta o documento recuperado. La consulta puede estar autorizada mientras la instrucción incrustada no lo está. Un servidor autenticado puede transportar texto escrito por otro actor.
La edición publicada de OWASP LLM 2026 contempla también superficies multimodales y persistentes. El nombre del canal no basta para decidir su confianza. Una instrucción puede estar en datos que la interfaz no presenta como una orden.
Un ejemplo de desarrollo
Un coding agent investiga un fallo de checkout y abre un ticket que contiene pasos de reproducción. Dentro del ticket aparece texto que le pide consultar credenciales y enviarlas a un destino externo como supuesto requisito del diagnóstico.
El ticket puede ser evidencia útil sobre el bug. No adquiere autoridad para ampliar el encargo. Si el agente transforma esa frase en una llamada real, hay que distinguir el intento de manipulación, la decisión generada, la autorización aplicada y el efecto observado. Una respuesta que menciona el destino no demuestra que se haya producido una transmisión.
La misma revisión debe considerar scripts y archivos ejecutables. Correr un test de un repositorio puede ejecutar código de ese repositorio aunque el modelo ignore correctamente sus instrucciones maliciosas. Ese segundo camino corresponde también a AI Supply Chain Risk, no se resuelve únicamente clasificando prompts.
Contexto, procedencia y autoridad
Context Engineering for Software Development ayuda a seleccionar información y conservar su procedencia. Una fuente relevante no es necesariamente actual, correcta ni autorizada para dirigir acciones. Un resumen generado tampoco debe convertir una instrucción incrustada en una decisión supuestamente tomada por el usuario.
Persistent Instructions explica reglas reutilizables y su alcance. Un archivo descubierto no obtiene automáticamente la máxima prioridad, y un texto consultado como dato no se vuelve instrucción por titularse «política». A la vez, las instrucciones de repositorio pueden tener un rol legítimo cuando el sistema las descubre y aplica según su contrato. La distinción requiere procedencia y autoridad, no prohibir todo archivo con verbos imperativos.
Separar visualmente instrucciones y evidencia puede ayudar, pero un delimitador no equivale a una frontera de autorización. El control importante debe mantenerse cuando una salida se convierte en una operación real.
De la manipulación a las consecuencias
Una inyección puede alterar contenido sin herramientas. Cuando el sistema tiene capacidades externas, Tool Abuse describe el uso indebido que puede seguir. Confused Deputy describe la autoridad legítima que se pone al servicio del solicitante equivocado. Data Leakage describe una exposición no autorizada.
Estas relaciones explican partes diferentes del mismo recorrido. No es necesario que todas aparezcan en cada caso. Un control puede bloquear la operación aunque el modelo haya interpretado mal el texto, y un sistema puede revelar información por un bug sin haber recibido ninguna inyección.
Persistencia y recuperación
Un intento puede afectar un solo paso o inducir una escritura que futuras sesiones vuelvan a leer. Si se altera una memoria, una instrucción persistida o una fuente recuperable, Data and Model Poisoning desarrolla la corrupción duradera. La inyección puede ser el mecanismo de entrada y el poisoning la condición que permanece.
Cerrar el chat no demuestra que el estado persistido esté limpio. La investigación debe identificar qué artefactos se modificaron y qué consumidores pudieron reutilizarlos. Tampoco toda respuesta extraña es prueba de persistencia: hace falta conectar observaciones con un activo y una referencia.
Defensa en capas
Una estrategia situada puede reducir material innecesario, conservar el origen de cada entrada, restringir herramientas y credenciales, comprobar destinos y exigir autorización adicional donde corresponda. Least Privilege for Agents limita lo que una decisión desviada puede alcanzar.
Agent Sandboxing limita recursos y algunos efectos; no impide por sí solo que el modelo interprete una instrucción no autorizada. AI Guardrails puede detectar o rechazar comportamientos en puntos protegidos, pero un detector favorable no demuestra que todos los canales estén cubiertos.
La salida también necesita controles del destino. Que una respuesta cumpla JSON no significa que deba ejecutarse como comando ni que sus identificadores estén autorizados. Trust Boundaries conserva esa separación entre forma válida y uso permitido.
Evaluar el comportamiento real
Una prueba debe declarar el objetivo legítimo, el canal que contiene la interferencia y el efecto que no debe ocurrir. Probar una entrada indirecta como si fuera un pedido del usuario evalúa una frontera distinta. Conviene usar datos sintéticos, destinos controlados y herramientas sustitutas instrumentadas.
El resultado debe observar tanto la tarea legítima como la operación protegida. Rechazar todo puede impedir el trabajo sin demostrar una defensa útil; producir un resumen correcto no prueba que no se ejecutó una acción adicional. Agent Evaluation ayuda a organizar casos y criterios, sin certificar seguridad universal a partir de una suite.
Fuentes y alcance
- OWASP: LLM Prompt Injection Prevention Cheat Sheet.
- OWASP LLM Top 10 2026: Prompt Injection.
- NIST AI 100-2e2025: Adversarial Machine Learning, terminología de ataques y mitigaciones.
Fuentes consultadas el 2026-11-05. Las distinciones y el ejemplo de Commerce son síntesis del Atlas; no se establece un ranking de productos ni una garantía de eliminación de inyecciones.