Prompt injection en agentes de IA: riesgos y defensas antes de automatizar tareas críticas

La inyección de instrucciones, conocida como prompt injection, ocurre cuando un sistema de IA interpreta texto malicioso como si fueran instrucciones que debe seguir. Puede llegar desde una página web, un documento o un mensaje que el agente consulta. El riesgo aumenta cuando el sistema puede usar herramientas, acceder a información privada o actuar en nombre del usuario.

Un agente puede mezclar instrucciones fiables con contenido externo y terminar revelando datos, cambiando información o ejecutando acciones que no estaban previstas. No se resuelve únicamente con pedir al modelo que ignore instrucciones sospechosas: es necesario diseñar controles en la aplicación y restringir lo que el agente puede hacer.

El principio de menor privilegio es fundamental. Concede solo el acceso necesario, separa los datos recuperados de las instrucciones del sistema y verifica las acciones antes de ejecutarlas. Las operaciones sensibles —como enviar mensajes, modificar permisos o transferir datos— deben requerir autorización explícita. También conviene registrar decisiones, limitar la salida de información y probar el sistema con evaluaciones de seguridad regulares.

La revisión humana es especialmente importante cuando una acción tiene consecuencias legales, económicas o de privacidad. Los equipos deben contar con mecanismos para detener al agente, revocar credenciales y analizar incidentes. Ningún control es perfecto, por lo que hay que diseñar suponiendo que puede haber errores. La automatización segura combina modelos, código, permisos, supervisión y procedimientos de respuesta.