La inyección de instrucciones (prompt injection) es un ataque contra un sistema con IA: alguien mete órdenes en un texto que el modelo va a leer para que ignore tus instrucciones. Es directa si la escribe el propio usuario, e indirecta si llega escondida en un correo, una web, un documento o la respuesta de una herramienta.
En la práctica
Anthropic separa los dos casos. En la directa, el usuario de tu aplicación es el adversario. En la indirecta, el usuario es de fiar, pero el modelo procesa contenido de terceros: el cuerpo de un correo entrante, una página web, el texto sacado por OCR de un archivo subido o la respuesta de una herramienta. Quien controla ese contenido puede meter órdenes para desviar al modelo.
La AEPD pone un ejemplo claro: un correo con texto blanco sobre fondo blanco, invisible para una persona, que un agente obedece al resumirlo. En una pyme, el riesgo aparece donde un agente de IA lee lo que manda cualquiera:
- El buzón compartido que el agente clasifica y contesta.
- Los PDF de proveedores o clientes de los que saca datos.
- Las webs que consulta para preparar una respuesta.
- Los documentos que alimentan un asistente con RAG.
No hay una solución completa. OWASP, en su lista de riesgos de 2025, la pone en primer lugar y señala que ni RAG ni el ajuste fino la evitan del todo. Por eso la AEPD propone su "regla de 2": un agente que lee contenido de cualquiera, accede a información sensible y actúa solo es una configuración que no se debería permitir. Si lee correos de fuera, que no actúe sin supervisión humana.
Las medidas que recomiendan Anthropic y OWASP:
- Tratar el contenido ajeno como datos no fiables, separado de tus instrucciones, y decirle al modelo de dónde viene.
- Dar al agente el mínimo acceso posible, para que un engaño que funcione haga el menor daño.
- Exigir aprobación humana en las acciones de riesgo.
- Filtrar lo que devuelven las herramientas antes de que el modelo actúe.
- Probar el sistema con correos y documentos que intenten engañarlo, antes de lanzarlo y después.
Errores frecuentes
- Pensar que solo afecta a los chatbots públicos. El caso más peligroso es el interno: un agente con acceso a tu correo o a tu CRM que lee un mensaje de fuera.
- Mezclar el contenido ajeno con tus instrucciones. Si el texto del correo va en el mismo bloque que tus órdenes, el modelo tiene más difícil distinguirlos.
- Dejar que pague, borre o envíe datos sensibles por su cuenta. INCIBE recomienda que una IA nunca haga esas cosas por su cuenta y que se pueda detener rápido.
Lo vemos con más ejemplos en agentes de IA para empresas y en automatizar procesos con IA en una pyme.