Los ataques de inyección de indicaciones se convierten en una nueva amenaza para la seguridad de la IA empresarial: el informe de CrowdStrike revela un aumento de los ataques de indicaciones maliciosas.

Resumen del evento

En 2025, los ataques de inyección de indicaciones (Prompt Injection) evolucionaron de un concepto de investigación a una amenaza real. CrowdStrike reveló en su Informe Global de Amenazas 2026 que los ataques de inyección de indicaciones afectaron a más de 90 organizaciones durante 2025, donde los atacantes utilizaron indicaciones cuidadosamente elaboradas para generar comandos y robar credenciales y criptomonedas con éxito. El informe también señala que las acciones de adversarios impulsadas por IA aumentaron un 89% interanual, y que hasta el 82% de las intrusiones no involucraron ningún código malicioso tradicional: las propias indicaciones han reemplazado a los archivos binarios como vectores de ataque.

El contexto de esta tendencia es que las empresas están implementando a gran escala agentes de IA (Agents), copilotos (Copilots) y herramientas de automatización de navegadores, sistemas que tienen permisos para acceder a correos electrónicos, código, sistemas de pago y uso compartido de archivos. Los controles de seguridad tradicionales no pueden distinguir entre las instrucciones del desarrollador y las instrucciones maliciosas incrustadas en contenido externo, lo que ha convertido a la inyección de indicaciones en la vulnerabilidad número uno (LLM01) en dos ediciones consecutivas del OWASP Top 10 de Seguridad de Aplicaciones LLM.

Análisis técnico y de riesgos

Métodos de ataque: inyección directa e indirecta

La inyección de indicaciones se divide en dos formas: directa e indirecta. La inyección directa se refiere al escenario típico en el que un usuario sobrescribe las indicaciones del sistema mediante entrada. La inyección indirecta es más amenazante: el atacante oculta instrucciones maliciosas en contenido que el modelo de IA leerá posteriormente, como correos electrónicos, páginas de Confluence, invitaciones de calendario, páginas web o documentos cargados. El usuario no lo percibe, el atacante no interactúa directamente con el modelo, pero el agente de IA ejecuta las instrucciones tóxicas.

Casos clave divulgados públicamente

• Filtración de datos de Slack AI (agosto de 2024): La empresa de seguridad PromptArmor informó que un atacante con permisos de espacio de trabajo podría robar datos de canales privados de Slack AI, incluidas claves API, mediante la inserción de instrucciones en canales públicos autorizados o archivos cargados.
• EchoLeak (CVE-2025-32711, CVSS 9.3): Aim Security reveló la primera inyección de indicaciones de cero clics dirigida a sistemas de IA en producción. Un atacante envía un correo electrónico manipulado que provoca que Microsoft 365 Copilot recupere archivos internos y los reenvíe a un servidor controlado por el atacante, sin necesidad de interacción del usuario.

Aunque estas dos vulnerabilidades ya han sido parcheadas, el defecto subyacente no se ha eliminado.

El riesgo se extiende a toda la pila de IA

A medida que las empresas adoptan arquitecturas avanzadas como agentes, pipelines RAG y memoria a largo plazo, la superficie de ataque se expande drásticamente. Los agentes que envían correos, modifican infraestructura en la nube y ejecutan código consideran la ventana de contexto como una fuente autorizada; los pipelines RAG absorben páginas web y documentos contaminados; la memoria a largo plazo puede retener instrucciones maliciosas y activarse en cada ejecución; el enrutamiento multi-modelo podría ser forzado a seleccionar el modelo más vulnerable.

Análisis del impacto empresarial### Riesgos operativos El abuso de permisos por parte de los agentes de IA puede provocar interrupciones en los procesos comerciales, filtraciones de datos o la manipulación de operaciones críticas. Por ejemplo, un agente con permisos para enviar correos electrónicos podría ser inducido a enviar correos de phishing masivos, o un agente con acceso a archivos podría ser utilizado para robar datos confidenciales de clientes.

Riesgos financieros El robo directo de credenciales y criptomonedas genera pérdidas económicas inmediatas. Además, los costos de respuesta a incidentes, reparación de sistemas, multas regulatorias y restauración de la marca pueden ascender a millones de dólares. En diciembre de 2025, Gartner recomendó a los CISO bloquear todos los navegadores de IA, incluidos ChatGPT Atlas y Perplexity Comet, debido a la falta de controles maduros.

Riesgos de cumplimiento Las empresas se enfrentan a requisitos regulatorios cada vez más estrictos al implementar sistemas de IA. El NCSC del Reino Unido y el BSI de Alemania han emitido advertencias paralelas. El NIST AI 600-1 clasifica la inyección de instrucciones como un riesgo de seguridad de la información, pero solo proporciona orientación a nivel de política. Las empresas que no se protejan adecuadamente pueden infringir regulaciones de protección de datos como GDPR y CCPA.

Riesgos de marca Incidentes públicos como EchoLeak y Slack AI han dañado gravemente la reputación de marcas como Microsoft y Slack. Una vez que se rompe la confianza de los clientes en la seguridad de los servicios de IA, el impacto comercial a largo plazo es incalculable.

Observaciones de tendencias de la industria

El aumento de los ataques de inyección de instrucciones no es un hecho aislado. La tasa de crecimiento anual del 89% reportada por CrowdStrike indica que los atacantes están explotando sistemáticamente las deficiencias inherentes de los modelos de IA. OpenAI reconoció públicamente en diciembre de 2025 que la inyección de instrucciones, como las estafas y la ingeniería social, podría no resolverse nunca por completo. La ficha del sistema Claude Opus 4.6 publicada por Anthropic muestra que la tasa de éxito de una sola inyección en agentes de interfaz gráfica es del 17,8%, mientras que después de 200 intentos la tasa de éxito aumenta al 78,6% (sin protección) y al 57,1% (con protección). Google informó que su ataque más efectivo contra la implementación de Gemini aún tenía una tasa de éxito del 53,6% después del ajuste adversarial.

Estos datos indican que existen limitaciones fundamentales en la protección dentro del modelo. La validación de entrada, el filtrado de salida, la detección de firmas y los ciclos de parches dependen de la distinción entre "instrucciones y datos", pero esta línea divisoria no existe internamente en los modelos de lenguaje. Las barreras de seguridad proporcionadas por los proveedores solo pueden hacer frente a patrones comunes, y son casi ineficaces contra inyecciones ofuscadas, multilingües o codificadas en imágenes. El entrenamiento adversarial puede mejorar modelos específicos, pero los nuevos métodos de ataque rompen los pesos actualizados en cuestión de semanas.

Recomendaciones de defensa y respuesta### A nivel empresarial 1. Principio de mínimo privilegio: Asignar a cada agente de IA el conjunto mínimo de permisos necesarios. Por ejemplo, un agente encargado únicamente de la gestión de agenda no debería tener permisos para enviar correos electrónicos ni acceder al sistema de archivos. 2. Proceso de aprobación humana: Establecer pasos de confirmación humana para operaciones de alto riesgo como enviar correos, ejecutar código, realizar pagos o modificar controles de acceso. 3. Etiquetado de fuentes sensibles: Etiquetar las fuentes de recuperación según su sensibilidad y excluir por defecto las categorías restringidas del pipeline RAG. 4. Lista blanca de red: Permitir que los agentes solo lleguen a dominios de salida aprobados. 5. Traza de auditoría completa: Registrar la trayectoria completa de razonamiento de cada operación importante, incluyendo indicaciones, resultados de recuperación y llamadas a herramientas, para su reproducción posterior.

A nivel técnico - Implementar clasificadores especializados de detección de inyección de indicaciones y reentrenarlos periódicamente para hacer frente a nuevas variantes. - Implementar una limpieza de entrada sensible al contexto, separando las entradas del usuario de las instrucciones del sistema (por ejemplo, usando marcadores de diferentes colores). - Introducir verificación de contenido y filtros de seguridad en el pipeline RAG para evitar la influencia de documentos contaminados. - Realizar revisiones periódicas y detección de anomalías en la memoria a largo plazo de los agentes de IA.

A nivel de gestión - Incluir la inyección de indicaciones en el plan de respuesta a incidentes de seguridad empresarial y establecer procesos de emergencia para sistemas de IA. - Al adquirir productos de IA, exigir a los proveedores que proporcionen: 1. El tipo de clasificador para detectar inyección de indicaciones y la frecuencia de reentrenamiento; 2. La tasa de éxito de ataques públicos en intentos únicos y en 200 intentos; 3. Qué categorías de vulnerabilidades OWASP resuelve el producto (por ejemplo, LLM01, LLM06, ASI01, ASI06) y las medidas de control específicas; 4. Si el equipo de seguridad puede reproducir la trayectoria completa de indicaciones, recuperaciones y llamadas a herramientas de cualquier comportamiento importante del agente de IA.En el futuro, con la popularización y el aumento de la autonomía de los Agentes de IA, la combinación de inyección de indicaciones con ataques a la cadena de suministro y amenazas de identidad será más estrecha. Los equipos de seguridad deben considerar los sistemas de IA como una nueva superficie de ataque y establecer marcos de evaluación de seguridad especializados. Para los CISO, la ventana de acción actual se está reduciendo: cada implementación de un agente de IA podría convertirse en la próxima entrada de EchoLeak. Ahora es el momento de actualizar la defensa contra la inyección de indicaciones de "opcional" a "obligatoria".