Utilidades IASeguridad en IA y prompt injection
Por qué la IA plantea un riesgo nuevo
En un programa tradicional, las instrucciones (el código) y los datos están separados. Un modelo de lenguaje recibe todo como texto: tus órdenes, el documento que le pides resumir y la página web que consulta. No distingue de forma fiable qué parte es una orden legítima y cuál es contenido a analizar.
Eso crea una superficie de ataque distinta: cualquiera que pueda poner texto delante del modelo, aunque sea escondido en una página o en un correo, puede intentar influir en su comportamiento.
Por eso los expertos hablan de un problema de diseño del sistema y no solo de un fallo del modelo.
Qué es la inyección de instrucciones
Ocurre cuando alguien incluye en un contenido frases como ignora las instrucciones anteriores y haz esto otro. Si el modelo procesa ese contenido, puede seguir la orden oculta. Existen dos variantes:
- Directa: el propio usuario intenta saltarse las reglas del sistema.
- Indirecta: la orden viene escondida en un documento, un correo, una página web o un archivo que el modelo lee por encargo del usuario.
La indirecta es la más preocupante, porque la víctima no escribe nada malicioso: solo pide, por ejemplo, un resumen.
La orden puede estar camuflada en texto de color blanco, en comentarios o en metadatos.
Un escenario ilustrativo
Supón un asistente con acceso a tu correo que resume mensajes y puede redactar respuestas. Llega un mensaje con texto invisible que ordena reenviar tu última factura a una dirección externa. Si el asistente puede enviar correos sin confirmación, podría ejecutar la orden creyendo que es legítima.
Es un ejemplo hipotético para entender el mecanismo, no un caso concreto. Muestra la clave del riesgo: el daño depende de lo que el sistema tenga permiso para hacer, no solo de lo que el modelo diga.
Una configuración de permisos más estricta evitaría el daño aunque el modelo se dejara engañar.
Otros riesgos al conectar datos y herramientas
- Fuga de datos: información sensible enviada a servicios externos o mostrada a quien no debe verla.
- Exceso de permisos: un agente con acceso amplio magnifica cualquier error.
- Complementos y conectores no revisados: código de terceros con acceso a tus datos.
- Respuestas con enlaces o código malicioso: el modelo puede generar contenido peligroso que alguien ejecute sin revisar.
- Confianza excesiva: aceptar salidas sin verificar.
Cada conector añadido amplía la superficie de ataque. Instala solo los que necesites, de fuentes que conozcas, y revisa periódicamente cuáles siguen activos y qué datos pueden leer. Un complemento olvidado es una puerta abierta.
Buenas prácticas
- Aplica el mínimo privilegio: solo los datos y acciones imprescindibles.
- Exige confirmación humana antes de acciones con efecto externo (enviar, borrar, pagar).
- Separa los datos sensibles del sistema que lee contenido no confiable.
- Trata todo texto externo como no fiable, aunque parezca inocente.
- Revisa y registra lo que hace el sistema.
- Revisa a quién das acceso y mantén actualizado el software.
Ninguna de estas medidas depende del modelo concreto que uses, por lo que sirven en cualquier herramienta. Lo más eficaz y barato es limitar permisos desde el principio: quitar un acceso que nunca se usó no cuesta nada y puede evitar un incidente grave.
Lo que no se puede garantizar
A día de hoy no existe una defensa que impida con total seguridad la inyección de instrucciones: los filtros y las instrucciones de protección ayudan, pero pueden eludirse. Por eso el diseño seguro asume que el modelo podría ser engañado y limita el daño posible con permisos estrictos y supervisión.
Si manejas datos personales o información confidencial, involucra a quien gestione la seguridad y la protección de datos en tu organización antes de conectar la IA a tus sistemas. Y recuerda que lo que es cierto en general puede variar según la herramienta: pregunta por sus controles concretos.
Lista de comprobación rápida
- ¿Qué puede hacer la herramienta además de responder texto?
- ¿Lee contenido de fuentes que no controlas, como correos, webs o archivos compartidos?
- ¿Necesita realmente todos los permisos que tiene?
- ¿Pide confirmación antes de actuar fuera del chat?
- ¿Queda un registro de sus acciones?
- ¿Sabes cómo revocar el acceso con rapidez?
Si la herramienta combina datos sensibles, lectura de contenido externo y capacidad de actuar, el riesgo es especialmente alto. Elimina al menos una de las tres cosas o añade supervisión humana antes de usarla en producción.
Repásala cada vez que añadas una función nueva.
Preguntas frecuentes
¿Puedo infectarme por pedirle a la IA que lea una web?
No en el sentido de un virus clásico, pero la web puede contener instrucciones ocultas que intenten manipular al modelo. El riesgo crece si la herramienta puede actuar, por ejemplo enviando mensajes o accediendo a tus archivos.
¿Basta con decirle al modelo que ignore órdenes ocultas?
Ayuda, pero no es una garantía, porque esa instrucción también es texto y puede ser eludida. La protección sólida se apoya en limitar permisos, pedir confirmación humana y aislar los datos sensibles.
¿Qué dato no debería pegar nunca en un asistente?
Contraseñas, claves de acceso y datos que no estés autorizado a compartir. Para información personal o confidencial, comprueba antes cómo la trata la herramienta y qué dice su política de privacidad.
Guías relacionadas
- Agentes de IA: qué son y qué no son: Un agente de IA combina un modelo con herramientas para completar tareas en varios pasos. Descubre cómo funcionan, qué pueden hacer y sus límites reales.
- RAG explicado de forma sencilla: La recuperación aumentada (RAG) permite que un modelo responda usando tus propios documentos. Aprende cómo funciona, sus ventajas y sus límites.
- Modelos de IA locales frente a la nube: Compara ejecutar la IA en tu propio equipo o usarla como servicio en la nube: privacidad, hardware, calidad, mantenimiento y casos de uso razonables.