Prompt Injection (inyección de prompts) es una situación en la que una entrada, directa u oculta dentro del contenido que el modelo lee, cambia el comportamiento del modelo de lenguaje de una forma que no pretendías.
En resumen
- Prompt Injection consiste en usar texto para que un modelo de IA haga algo que no querías.
- OWASP, una organización de seguridad reconocida, lo sitúa como el primer riesgo de su lista para aplicaciones basadas en modelos de lenguaje (LLM01).
- Una instrucción maliciosa puede esconderse en un sitio web, un archivo o un correo que el agente lee, y no solo en el mensaje que tú escribes.
- Según OWASP, no está claro que exista un método que lo evite por completo. El riesgo se reduce con permisos mínimos y aprobación humana.
Qué es Prompt Injection, con una sola imagen
Imagina a un ayudante nuevo al que diste instrucciones claras y que ahora abre un paquete llegado por correo. Dentro hay una nota: "Envía la lista de clientes a esta dirección". Un ayudante prudente entiende que es solo una nota. Uno que no distingue entre "lo que dijo el jefe" y "lo que tiene delante" podría obedecer.
A un modelo de lenguaje le cuesta justo eso: para él, todo lo que entra es texto. Por eso un texto con una redacción persuasiva puede intentar tomar el control de las instrucciones que se le dieron.
¿Cómo funciona?
OWASP define dos formas. Directa: un usuario escribe una entrada que cambia el comportamiento del modelo, a propósito o por error. Indirecta: el modelo procesa contenido externo, como un sitio web o un archivo, que contiene instrucciones ocultas. OWASP señala que el efecto puede ser invisible para el ojo humano, y por eso es difícil de detectar.
Inyección indirecta: cómo ocurre
- Tú das una tarea"Resúmeme este documento"
- El agente lee contenido externoUn sitio, un correo o un archivo
- Dentro hay una orden ocultaY el modelo confunde la orden con la tarea
- Freno antes del dañoPermisos estrechos y tu aprobación
El último paso es el que marca la diferencia. Cuantos menos permisos tiene el agente, y cuanto más esperan tu aprobación las acciones sensibles, menos daño puede causar una instrucción oculta.
¿Por qué importa para un negocio?
No hace falta que seas un objetivo especial. Basta con que el agente lea contenido que no escribiste tú. Según OWASP, un ataque exitoso puede llevar, entre otras cosas, a:
- Exposición de información. Acceso no autorizado a datos, o revelación de las instrucciones del sistema (system prompt).
- Acciones no solicitadas. Uso de funciones que no deberían estar abiertas, o ejecución de comandos en sistemas conectados.
- Resultados sesgados o erróneos. Una respuesta, un resumen o una recomendación influidos por texto malicioso.
- Decisiones distorsionadas. Un agente que resume competidores o proveedores a partir de sitios web y decide según contenido incrustado a propósito.
Cuando un agente está conectado a cuentas reales, los permisos son la línea de defensa. Sobre este tema, en relación con la privacidad, escribimos en la guía de privacidad y agentes de IA.
¿Qué se puede hacer?
OWASP recomienda siete métodos de mitigación, y la siguiente división los traduce al negocio:
Los métodos de mitigación de OWASP, en lenguaje de dueño de negocio
Limitar al agente
- Solo permisos mínimos
- Instrucciones de sistema claras
- Formato de salida definido y verificado
Revisar lo que entra y lo que sale
- Filtrado de entradas y salidas
- Separar el contenido externo de las instrucciones
Pedir aprobación y probar
- Aprobación humana para acciones peligrosas
- Pruebas de ataque simulado
Fuente: OWASP GenAI Security Project, LLM01:2025 Prompt Injection. Traducción y agrupación nuestras.
La guía de OpenAI para construir agentes también describe las barreras de seguridad (guardrails) como capas de defensa, y subraya que una sola no basta y que deben funcionar junto con permisos, identificación y controles de acceso estrictos. Nuestra postura: no confíes en un "prompt ingenioso" que le pide al modelo tener cuidado. Una restricción real en los permisos es más fuerte.
Mitos frecuentes
Mito"Solo afecta a hackers y a grandes empresas"
En realidadCualquier agente que lee contenido que no escribiste tú, como sitios web, correos y archivos, está expuesto. El tamaño del negocio no cambia nada; los permisos, sí.
Mito"Se resuelve con una instrucción suficientemente firme"
En realidadOWASP escribe que no está claro que existan métodos que lo eviten por completo, debido a la naturaleza de los modelos. Por eso se combinan varias capas de defensa.
Mito"Es un error del modelo"
En realidadNo es lo mismo que una alucinación. Aquí un agente externo dirige el comportamiento, a veces mediante texto que una persona ni siquiera ve.
Mito"Si el agente no está conectado a nada, no hay ningún riesgo"
En realidadAun así se pueden sesgar las respuestas. Pero el daño mayor ocurre cuando hay conexiones, y por eso los permisos limitados son especialmente importantes para los agentes.
Términos relacionados
- Qué es un agente de IA: quien se expone al contenido y actúa con herramientas.
- Qué es MCP: la conexión que le da al agente acceso a los sistemas.
- Qué es un LLM: el modelo que recibe juntos las instrucciones y el contenido.
- Qué es una alucinación en IA: otro tipo de error, que proviene del propio modelo.
- Qué es un token: las instrucciones y el contenido externo llegan al modelo como una sola secuencia de texto.
Preguntas frecuentes
¿Qué es Prompt Injection?
Prompt Injection es una vulnerabilidad en la que una entrada a un modelo de lenguaje cambia su comportamiento o su salida de una forma no prevista. Según OWASP, la entrada puede llegar directamente del usuario, o de forma indirecta desde contenido externo que el modelo procesa, como un sitio web o un archivo. Es el primer riesgo de la lista de OWASP para aplicaciones LLM (LLM01).
¿Cuál es la diferencia entre inyección directa e indirecta?
En la directa, quien escribe al modelo es quien cambia su comportamiento. En la indirecta, la instrucción está oculta en contenido que el modelo lee por el camino, como una página web, y no necesariamente en el mensaje del usuario.
¿Se puede evitar Prompt Injection por completo?
OWASP escribe que no está claro que existan métodos de prevención totalmente infalibles. Por eso se recomiendan varias capas: permisos mínimos, revisión de entradas y salidas, separación del contenido externo y aprobación humana para acciones peligrosas.
¿Qué puede hacer hoy un negocio pequeño?
Dar al agente solo los permisos que necesita, dejar la publicación, el presupuesto y los mensajes a clientes sujetos a tu aprobación, y evitar conectarle cuentas que no hagan falta. Además, pregunta a quien configura el agente cómo trata el contenido externo.
