La semana pasada analizamos por qu\u00e9 la inyecci\u00f3n de instrucciones indirecta (indirect prompt injection) se ha convertido en uno de los riesgos m\u00e1s urgentes para los equipos de seguridad en 2026, catalogado como el riesgo n\u00famero uno seg\u00fan OWASP para aplicaciones de LLM e inteligencia artificial generativa, y ya vinculado a incidentes confirmados de exfiltraci\u00f3n de datos, pagos no autorizados e incluso ejecuci\u00f3n remota de c\u00f3digo. La siguiente pregunta natural es qu\u00e9 hacer al respecto.<\/p>\n
La buena noticia es que este no es un problema imposible de resolver. Es un problema nuevo y requiere una mentalidad distinta a la seguridad de aplicaciones tradicional, pero existe un cuerpo creciente de recomendaciones concretas, de organizaciones como OWASP y OpenAI, sobre c\u00f3mo construir y operar agentes de IA que resistan un ataque. Aqu\u00ed presentamos cinco pr\u00e1cticas que vale la pena implementar ahora.<\/p>\n
El investigador Simon Willison describi\u00f3 un patr\u00f3n que llama la \u00abtrifecta letal\u00bb, y es un marco \u00fatil para cualquier equipo de seguridad que eval\u00fae agentes de IA. Un agente se vuelve verdaderamente peligroso cuando combina tres elementos a la vez: acceso a datos privados, exposici\u00f3n a contenido externo no confiable, como correos electr\u00f3nicos o p\u00e1ginas web, y la capacidad de comunicarse hacia afuera, ya sea enviando datos, llamando a una API o renderizando un enlace. Cualquiera de estos elementos por s\u00ed solo es manejable. Los tres juntos significan que un atacante capaz de insertar instrucciones en el contenido que su agente lee podr\u00eda llevarse todo lo que ese agente puede ver.<\/p>\n
Antes de poner cualquier agente en producci\u00f3n, h\u00e1gase una pregunta simple: \u00bftiene estas tres capacidades a la vez? Si es as\u00ed, tr\u00e1telo como un sistema de alto riesgo que necesita los controles descritos a continuaci\u00f3n, no como una aplicaci\u00f3n est\u00e1ndar que recibe una revisi\u00f3n de rutina y sigue su curso.<\/p>\n
Otorgue a los agentes credenciales acotadas en lugar de acceso amplio a los sistemas con los que interact\u00faan, y establezca l\u00edmites reales para acciones de alto impacto como pagos, eliminaciones y ejecuci\u00f3n de c\u00f3digo. Pi\u00e9nselo igual que pensar\u00eda en un nuevo empleado. Un representante de atenci\u00f3n al cliente humano suele tener un l\u00edmite para reembolsos y necesita autorizaci\u00f3n para montos mayores. Sus agentes de IA merecen la misma disciplina. Si un agente no necesita la capacidad de eliminar registros o mover dinero, no deber\u00eda tenerla, sin excepciones.<\/p>\n
Una parte importante de los ataques de inyecci\u00f3n de instrucciones que ocurren en el mundo real funciona porque no existe un l\u00edmite claro entre lo que se le indic\u00f3 al sistema que hiciera y lo que este termina leyendo mientras lo hace. Dise\u00f1e sus prompts de manera que el contenido externo (p\u00e1ginas web, documentos, correos electr\u00f3nicos, registros de actividad) quede claramente separado de las instrucciones a nivel de sistema, y a\u00f1ada filtrado de entrada y salida como una capa adicional, no como la \u00fanica defensa. El filtrado detecta patrones conocidos. La separaci\u00f3n estructural es lo que lo protege frente a los que todav\u00eda nadie ha visto.<\/p>\n
Cualquier acci\u00f3n con consecuencias financieras, operativas o de p\u00e9rdida de datos reales debe contar con la intervenci\u00f3n de una persona antes de ejecutarse. No se trata de frenar a sus equipos en todos los frentes. Se trata de ser deliberado respecto a qu\u00e9 acciones pueden ejecutarse de forma aut\u00f3noma y cu\u00e1les merecen una segunda revisi\u00f3n, la misma distinci\u00f3n que ya aplicar\u00eda a una solicitud de transferencia bancaria o a un cambio en una base de datos de producci\u00f3n.<\/p>\n
Esta es la pr\u00e1ctica que la mayor\u00eda de las organizaciones todav\u00eda no implementa, y es la que m\u00e1s importa. El escaneo de vulnerabilidades est\u00e1ndar y la revisi\u00f3n de c\u00f3digo no detectar\u00e1n la inyecci\u00f3n de instrucciones, porque la falla reside en c\u00f3mo el sistema procesa el contenido, no en una pieza de c\u00f3digo con una firma conocida. Esto explica precisamente por qu\u00e9 la inyecci\u00f3n de instrucciones puede ocupar el primer lugar entre las preocupaciones de los expertos en seguridad mientras aparece con mucha menos frecuencia en los registros tradicionales de incidentes y vulnerabilidades: las herramientas que la mayor\u00eda de los programas ya utilizan nunca fueron dise\u00f1adas para detectarla.<\/p>\n
La \u00fanica forma confiable de saber si sus agentes realmente resisten es probarlos como lo har\u00eda un atacante, tratando al propio modelo como una parte no confiable y examinando las integraciones de herramientas, los permisos y el acceso a datos detr\u00e1s de \u00e9l, no solo las respuestas del modelo de forma aislada. Aqu\u00ed es exactamente donde las pruebas de penetraci\u00f3n especializadas en IA y LLM demuestran su valor. Las pruebas de seguridad de IA generativa y LLM de Orenda est\u00e1n dise\u00f1adas espec\u00edficamente para este modelo de amenazas, evaluando c\u00f3mo se comporta un agente al encontrarse con contenido manipulado y d\u00f3nde podr\u00edan explotarse sus permisos e integraciones de herramientas. Combinadas con ejercicios de red team y gesti\u00f3n continua de vulnerabilidades, le ofrecen una respuesta real, basada en evidencia y no en suposiciones, a la pregunta que todo CISO que despliega agentes de IA deber\u00eda hacerse: si alguien intentara esto contra nosotros hoy, \u00bffuncionar\u00eda?<\/p>\n
Ninguna de estas cinco pr\u00e1cticas requiere frenar sus iniciativas de IA. Requieren que las construya con la misma disciplina que ya aplica a sus redes, aplicaciones y entornos de nube: saber qu\u00e9 est\u00e1 exponiendo, limitar lo que puede salir mal y probarlo con regularidad frente a t\u00e9cnicas de ataque reales, en lugar de asumir que todo est\u00e1 bien porque nada se ha roto todav\u00eda.<\/p>\n","protected":false},"excerpt":{"rendered":"
La semana pasada analizamos por qu\u00e9 la inyecci\u00f3n de instrucciones indirecta (indirect prompt injection) se ha convertido en uno de los riesgos m\u00e1s urgentes para los equipos de seguridad en 2026, catalogado como el riesgo n\u00famero uno seg\u00fan OWASP para aplicaciones de LLM e inteligencia artificial generativa, y ya vinculado a incidentes confirmados de exfiltraci\u00f3n […]<\/p>\n","protected":false},"author":1,"featured_media":3600,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[57,60],"tags":[],"class_list":["post-3611","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-mejores-practicas","category-seguridad-de-la-informacion","has-post-title","has-post-date","has-post-category","has-post-tag","has-post-comment","has-post-author",""],"yoast_head":"\n