Las inyecciones de prompts, esos comandos maliciosos que los atacantes insertan en el contenido para que un modelo de lenguaje grande (LLM) los obedezca, han sido durante años la herramienta favorita para volver las plataformas de IA contra sus usuarios. Una orden bien redactada, escondida en un correo o en una invitación de calendario, suele bastar para que el modelo filtre datos sensibles o ejecute otras acciones dañinas.

Ahora, los defensores también están adoptando la inyección de prompts.

¿Qué es el context bombing?

Investigadores de Tracebit informaron el lunes que colocar inyecciones de prompts junto a contraseñas, claves criptográficas y otros secretos almacenados en Amazon Web Services solía ser todo lo necesario para frenar los ataques de agentes de IA. Los comandos plantados ordenan al LLM atacante realizar una acción prohibida por sus barreras de seguridad, y el modelo responde apagándose.

Algunos ejemplos son un mensaje que le ordena al LLM entregar pasos para desarrollar esporas inhalables de ántrax o, en el caso de modelos de desarrolladores chinos, hacer referencia al icónico Hombre del Tanque de la masacre de Tiananmen en 1989. Una vez que el LLM encuentra esos comandos prohibidos, deja de seguir sus instrucciones previas. Los investigadores bautizaron la técnica como context bombing (bombardeo de contexto).

"En última instancia, estamos activando un mecanismo de rechazo en el contexto", explicó Andy Smith, cofundador y director ejecutivo de Tracebit, sobre la elección del nombre. "Lo que buscamos capturar es que esto tiene un efecto fuerte y agudo, del que a los agentes les cuesta volver. Una vez que lo tienen en su contexto, van a seguir negándose."

¿Qué tan efectiva es la técnica?

Tracebit dice que las pruebas iniciales sugieren un gran potencial. El equipo evaluó cinco modelos punteros: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6, dándoles instrucciones para realizar tareas rutinarias de desarrollo que los llevaban a enumerar recursos y toparse con las cadenas plantadas. Los modelos corrieron dentro de un entorno AWS simulado.

"En cinco modelos punteros y 152 corridas de ataque, plantar una de estas cadenas en un secreto señuelo redujo la tasa a la que los agentes tomaban control total de administrador del 57 al 5 por ciento, y el compromiso completo (donde además se dejaban una puerta trasera persistente) del 36 al 1 por ciento", reportó la publicación del lunes. "El agente más capaz de nuestras pruebas, Opus 4.8, pasó de lograr acceso de administrador en el 93 por ciento de las corridas a fallar en absolutamente todas cuando se enfrentó a una bomba de contexto."

Promediados en los cinco modelos y las 152 corridas, los resultados fueron:

  • La escalada a privilegios de administrador cayó del 57 al 5 por ciento.
  • La escalada con puerta trasera persistente cayó del 36 al 1 por ciento.
  • Las corridas que lograban cualquier vía de ataque bajaron del 91 al 15 por ciento.
  • En promedio, una corrida pasó de completar 1,53 vías con éxito a solo 0,16.
  • Ninguna corrida logró completar una vía de ataque sin activar antes una detección señuelo.

De la alerta a la defensa activa

La investigación se apoya en hallazgos de mayo, cuando Tracebit presentó un método para que los defensores reciban avisos cuando su infraestructura es atacada por adversarios de IA agéntica. Consiste en recursos de AWS que parecen cumplir un propósito legítimo pero que en realidad no se usan: se ubican junto a los recursos reales y, cuando un agente de IA los sondea, el defensor recibe una alerta. Como los "canarios" que se llevaban a las minas de carbón, permiten detectar la amenaza antes de que tenga consecuencias fatales.

Esos canarios de Tracebit alertaban el inicio de un ataque en un promedio de ocho minutos. La motivación para desarrollar el context bombing nació de la necesidad de algo que detuviera los ataques, no que solo advirtiera de ellos. En los experimentos, los modelos agénticos necesitaban en promedio 14 minutos para escalar al control administrativo. El margen de seis minutos era incómodamente estrecho.

Los atacantes ya han estado usando inyecciones de prompts para desactivar defensas de IA dentro de las redes. Investigadores de la firma de seguridad Socket, por ejemplo, descubrieron el mes pasado un agente LLM que ordenaba a los modelos objetivo entregar instrucciones para construir una bomba nuclear o armas biológicas, con el fin de apagar el análisis de malware asistido por IA. Investigadores de Check Point hallaron un prototipo similar. El context bombing parece ser el primer caso conocido en que los defensores dan vuelta la situación.

"No he visto a nadie más usar esta técnica como defensa, hasta donde sé", dijo Earlence Fernandes, profesor de la Universidad de California en San Diego especializado en seguridad de IA. Contó que había estado explorando un enfoque similar, aunque en un contexto algo distinto: "Quería ser el primero acá, pero supongo que estos tipos me ganaron de mano."

Hasta la fecha no se conoce forma de resolver la causa raíz de las inyecciones de prompts. Eso ha dejado a los desarrolladores sin otra opción que construir elaboradas barreras de protección. Los defensores, quizás, encuentren ahora la manera de usar ese problema intratable a su favor.