Llevamos un par de años viendo cómo el tan temido prompt injection se ha convertido en la navaja suiza favorita de los ciberdelincuentes. Ya sabes, esa técnica de colar instrucciones ocultas en un inocente correo electrónico o en una página web para que un agente de IA haga lo que no debe sin que nadie se entere. Pero la tortilla acaba de dar la vuelta. Resulta que la empresa de ciberseguridad Tracebit acaba de demostrar que podemos usar exactamente la misma jugarreta para freír a los agentes de IA maliciosos que intentan atacarnos. Magia pura.
En un fascinante informe que Tracebit ha publicado recientemente, los investigadores detallan cómo han bautizado a esta técnica. La han llamado context bombing o bombardeo de contexto, y promete convertirse en un verdadero dolor de cabeza para los hackers.
El «bombardeo de contexto» vuelve locas a las barreras de seguridad
Y es que el mecanismo defensivo es diabólicamente ingenioso. Si lo piensas, los grandes modelos de lenguaje actuales están programados hasta la médula para negarse a hablar de temas prohibidos. Hablamos de reglas regulatorias muy estrictas que forman parte del núcleo del sistema. Si a una IA le sacas ciertos temas polémicos o peligrosos, se bloquea por defecto. Fin del juego.
Como bien apunta el equipo de investigación, la trampa consiste en colocar un texto diseñado específicamente para activar estas alarmas de censura justo al lado de credenciales falsas en tus servidores. Cuando el agente de IA atacante llega allí y lee los datos, se traga el anzuelo completo. Sus propias barreras de seguridad internas saltan por los aires y el ataque se detiene en seco. El modelo entra en pánico y se niega a procesar cualquier instrucción posterior dentro de ese contexto. Una trampa perfecta.
Pero claro, no todos los modelos de IA del mercado son iguales ni se ofenden con exactamente las mismas cosas. El ataque defensivo tiene que estar hecho a medida. En los modelos occidentales, colar referencias a la fabricación de armas biológicas como el temido ántrax funciona a las mil maravillas para provocar el bloqueo.
Por el contrario, si te enfrentas a herramientas asiáticas la jugada cambia radicalmente. Tal y como un análisis reciente explicaba sobre la censura en los LLM chinos, basta con mencionar la figura del mítico “Tank Man” de la Plaza de Tiananmen para que el sistema aborte la misión inmediatamente. Simplemente brillante.
La nueva técnica tumba los accesos de administrador del 57% al 5%
Si miramos los números, la eficacia de este sistema roza lo absurdo. Tracebit probó la técnica en un entorno simulado de AWS enfrentando a cinco de los modelos más avanzados del mercado actual en tareas de desarrollo de software. De un total de 152 intentos de intrusión documentados, los resultados hablan por sí solos.
Los intentos de ataque que lograban acceso de administrador cayeron en picado, pasando de un preocupante 57% a un mísero 5%. Los cibercriminales que intentaban colar puertas traseras para mantener persistencia en el sistema bajaron del 36% a solo un 1%. E incluso los intentos que apenas lograban completar alguna fase inicial del ataque pasaron de un exitoso 91% a un triste 15%.
Por si fuera poco, el caso específico del modelo Opus 4.8 es digno de estudio en las universidades. Los responsables de estas pruebas de estrés cuentan que este modelo concreto pasó de lograr hackear la cuenta de administrador en el 93% de las ocasiones, a fracasar estrepitosamente en el 100% de los intentos cuando se aplicó el bombardeo de contexto. Literalmente, lo inutilizaron.
El problema de los 14 minutos que esta defensa sí consigue resolver
Evidentemente, llegar a este punto operativo no ha sido fruto de la casualidad ni de un día para otro. Anteriormente, la propia compañía Tracebit ya había presentado un sistema de «canarios», que básicamente eran recursos informáticos falsos que hacían saltar una alarma cuando alguien accedía a ellos. Una idea bastante buena, pero con un cuello de botella letal.
Aquellos canarios detectaban el ataque con unos ocho minutos de antelación de media. Sin embargo, un agente de IA malicioso de última generación es capaz de completar todo su ataque en apenas 14 minutos. La ventana de reacción para un equipo de ciberseguridad humano era ridículamente estrecha. El context bombing elimina ese problema de raíz porque no se limita a avisar del ataque: lo estrangula en el mismo milisegundo en el que ocurre. Así de simple.
Básicamente, estamos utilizando las limitaciones políticas y regulatorias impuestas a la Inteligencia Artificial por los propios desarrolladores como nuestro mejor escudo protector. Y dado que estas restricciones son casi imposibles de eliminar de la arquitectura del modelo sin meterse en problemas legales, tenemos una base defensiva sorprendentemente estable.
Eso sí, no nos engañemos pensando que hemos ganado la guerra. La vulnerabilidad base del prompt injection sigue estando ahí, porque los algoritmos siguen siendo incapaces de diferenciar de forma nativa qué es una instrucción legítima y qué es mero contexto de datos. Esta técnica es una tirita brillante, sí, pero en un ecosistema que sigue teniendo agujeros de diseño brutales. Veremos cuánto tardan los atacantes en encontrar la forma de saltarse su propia medicina.
Me dedico al SEO y la monetización con proyectos propios desde 2019. Un friki de las nuevas tecnologías desde que tengo uso de razón.
Estoy loco por la Inteligencia Artificial y la automatización.
