La firma de ciberseguridad Tracebit ha revelado una técnica innovadora, denominada 'context bombing', para neutralizar ataques de inyección de prompts contra sistemas de inteligencia artificial. Esta estrategia consiste en insertar texto diseñado para activar las propias barreras de seguridad de los modelos de IA, deteniendo así el ataque. La vulnerabilidad explotada es inherente a los grandes modelos de lenguaje, lo que la convierte en una defensa robusta y difícil de eludir para los ciberatacantes.
Durante los últimos dos años, la inyección de prompts se ha consolidado como la herramienta preferida de los ciberatacantes contra sistemas de inteligencia artificial. Este método implica ocultar una instrucción maliciosa dentro de comunicaciones como correos electrónicos, invitaciones de calendario o páginas web, con el objetivo de que un agente de IA obedezca al intruso en lugar de a su usuario legítimo. Afortunadamente, esta misma técnica ahora puede ser utilizada para contrarrestar a los atacantes.
La firma de ciberseguridad Tracebit ha publicado una investigación que demuestra cómo se puede detener a un agente de IA que está atacando un sistema. Esto se logra simplemente colocando, junto a las contraseñas y claves que el atacante intenta robar, un texto diseñado para activar los mecanismos de rechazo del propio modelo. En el momento en que la IA atacante lee este texto, sus barreras de seguridad se activan y el ataque se detiene abruptamente. Los investigadores han denominado a esta técnica 'context bombing', que se traduce como "bombardeo de contexto".
La lógica detrás de esta técnica es sencilla, aunque su descubrimiento no lo fue tanto. Todos los grandes modelos de lenguaje tienen incorporados ciertos temas que se niegan a tratar bajo cualquier circunstancia, ya sea por motivos de seguridad o por razones políticas y regulatorias. Tracebit aprovecha esta característica colocando, cerca de las credenciales falsas (utilizadas como cebo para detectar intrusos), fragmentos de texto que dirigen al modelo hacia esos terrenos prohibidos. Según explicó Andy Smith, cofundador y CEO de Tracebit a Ars Technica, con esta técnica se activa un mecanismo de rechazo en el contexto, lo cual tiene un efecto fuerte y contundente, y del que a los agentes les cuesta recuperarse. Una vez que ese contenido entra en su contexto, el modelo continúa rechazando cualquier instrucción posterior.
No todos los modelos reaccionan de la misma manera, por lo que la trampa debe adaptarse a cada caso. Para los modelos occidentales, como los de Anthropic o Google, ha resultado efectivo incluir referencias a la fabricación de armas biológicas, como instrucciones para producir esporas de ántrax inhalables. En contraste, para los modelos desarrollados en China, la clave ha sido mencionar al "Tank Man", el individuo que se interpuso frente a los tanques en la masacre de Tiananmen de 1989. Este es un tema que estos sistemas tienen prohibido abordar debido a la censura del Gobierno chino.
Tracebit probó la técnica sobre cinco de los modelos más avanzados del momento (Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6). Simularon un entorno de Amazon Web Services (AWS) y les encargaron tareas rutinarias de desarrollo que, en el proceso, los llevaban a encontrarse con las claves falsas. En 152 intentos de ataque registrados, la investigación apunta a que:
- Los ataques que lograban acceso de administrador cayeron del 57% al 5%.
- Los que además conseguían dejar una puerta trasera permanente pasaron del 36% al 1%.
- El porcentaje de intentos que completaban al menos alguna fase del ataque bajó del 91% al 15%.
El caso más notable fue el de Opus 4.8, el modelo más eficaz de los cinco a la hora de atacar, ya que sin la trampa de contexto conseguía acceso de administrador en el 93% de los intentos; con ella, fracasó en el 100% de los casos.
La eficacia de esta técnica radica en que explota una debilidad muy difícil de corregir. Según cuentan los investigadores, un desarrollador puede reentrenar un modelo para que sea menos estricto ante una pregunta de seguridad, pero resulta mucho más complicado eliminar las restricciones políticas o regulatorias que trae de serie. Esto se debe a que no son un fallo que se pueda "arreglar", sino una decisión de diseño deliberada. Esto convierte esas barreras en un punto de apoyo bastante estable para quienes desarrollan protecciones contra estos ataques.
En mayo, Tracebit ya había presentado un sistema de "canarios", es decir, recursos falsos en la nube que parecen legítimos pero no se utilizan realmente. Cualquier intento de acceder a ellos dispara una alerta para el equipo de seguridad. En aquella primera prueba, con 951 intentos de ataque, los canarios avisaban con una antelación media de ocho minutos antes de que el atacante lograra acceso de administrador. El problema era que los agentes de IA necesitaban solo 14 minutos de media para completar el ataque, dejando a los defensores una ventana de apenas seis minutos para reaccionar. El 'context bombing' nace precisamente para ganar ese tiempo faltante, deteniendo el ataque en lugar de solo avisar de él.
Ni Tracebit ni nadie afirma que esta sea la solución definitiva al prompt injection. Sigue sin existir una forma de evitar que un modelo confunda, de vez en cuando, una instrucción con un dato cualquiera dentro de su contexto, y esa confusión es precisamente lo que hace posible la técnica.
