El uso de la inteligencia artificial (IA) en entornos corporativos avanza a gran velocidad y no deja de extenderse, convirtiéndose en una herramienta clave para automatizar tareas, optimizar recursos y mejorar la eficiencia operativa. Sin embargo, esta misma adopción masiva está abriendo nuevas oportunidades para los ciberdelincuentes, que ya explotan la tecnología para lanzar ataques cada vez más sofisticados.
Un ataque que sortea las reglas internas de la IA
Los modelos de IA incorporan límites y directrices destinadas a impedir la generación de contenido malicioso, como pueden ser los correos de phishing. No obstante, los investigadores de amenazas de Proofpoint advierten de que estas salvaguardas pueden ser burladas mediante ataques de inyección de prompts, que introducen comandos capaces de forzar al modelo a ignorar sus propias reglas de seguridad.
En su variante directa, el atacante instruye al modelo de IA para adoptar un rol o un escenario ficticio, llevando al sistema a saltarse sus propias normas éticas. Pero es la versión indirecta la que más preocupa a los expertos por su carácter sigiloso y aún más peligrosa.
La amenaza silenciosa: la inyección indirecta de prompts
La inyección indirecta de prompts se produce cuando el ciberdelincuente oculta una instrucción maliciosa dentro de una fuente de datos externa aparentemente legítima, como el cuerpo de un correo electrónico o un documento adjunto, señala Proofpoint.
Según explica, la cadena de ataque comienza con un e-mail que esconde un prompt malicioso, camuflado en texto blanco sobre fondo blanco, metadatos o como parte de un documento aparentemente usuario. El usuario no realiza ninguna acción.
A partir de ahí, es el propio asistente de IA el que ejecuta el ataque sin que medie interacción humana. Al operar de forma autónoma –por ejemplo, para indexar el buzón de entrada, resumir correos o recuperar contexto para otra tarea– el sistema analiza el mensaje en segundo plano e ingiere también la instrucción oculta. Como el modelo no distingue entre datos que debe procesar e instrucciones que debe obedecer, interpreta el prompt malicioso como una orden válida y lo ejecuta de inmediato. El resultado es que se desencadena una exfiltración de datos de manera autónoma y en segundo plano, sin que la víctima perciba ningún comportamiento anómalo.
«Es un vector de ataque en aumento que, a diferencia de los exploits tradicionales, no requiere códigos complejos, puesto que están escritos en lenguaje natural, y son accesibles a muchos atacantes, abriendo una nueva y crítica frontera para la ciberseguridad«, indican los expertos de Proofpoint. Además, apuntan que esta técnica se vuelve aún más crítica a medida que avanzamos hacia la IA agéntica, en la que los agentes autónomos pueden ejecutar acciones completas en nombre del usuario y un simple prompt oculto en un correo electrónico podría bastar para secuestrar su comportamiento y manipular sus acciones.
Un cambio de enfoque en la defensa
Desde Proofpoint subrayan que los ciberdelincuentes buscarán cada vez más explotar la vulnerabilidad de los datos, introduciendo información corrupta para manipular el aprendizaje de los modelos y alterar su comportamiento futuro. Ante esta amenaza, consideran imprescindible que los responsables de seguridad establezcan estándares estrictos sobre la calidad, integridad y procedencia de todos los datos que nutren a los modelos, los prompts y los agentes de IA.
Defenderse frente a la inyección indirecta de prompts exige, según la compañía, una nueva forma de pensar. No es suficiente con analizar cargas maliciosas tradicionales o buscar palabras clave sospechosas. «La solución de seguridad debe ser capaz de comprender la psicología, la intención y el contexto que hay detrás de un mensaje, y no solo sus palabras clave de identificar patrones de comunicación anómalos y de analizar estos ataques mediante una estrategia de múltiples capas de técnicas de detección, basándose en inteligencia de datos y en investigación de amenazas», sentencia la firma de ciberseguridad.
Acerca del autor
