La clave para frenar un ciberataque de IA puede ser tan sencilla como sacar un tema que el sistema no tiene permiso para tratar.
Los investigadores han encontrado una forma extraña pero eficaz de frenar en seco a un agente de pirateo por IA, usando exactamente el truco que los propios piratas informáticos emplean contra los sistemas de inteligencia artificial.
PUBLICIDAD
PUBLICIDAD
La clave está en aprovechar los mecanismos de seguridad internos o los temas vetados en los que se apoyan los grandes sistemas de IA del mundo, como el bloqueo de Claude a las consultas relacionadas con la creación de armas biológicas o el rechazo de los modelos chinos a tratar asuntos políticos sensibles como la plaza de Tiananmen, para desactivar un ataque de ciberseguridad lanzado por una IA.
Carrera contra la máquina
La técnica procede de Tracebit, una empresa de seguridad con sede en Londres, y se basa en un estudio que la compañía publicó en mayo.
Entonces, Tracebit proporcionó a diez modelos punteros de IA una red corporativa ficticia que debían penetrar, con vulnerabilidades reales, y los dejó actuar libremente como atacantes autónomos.
Dentro de esa red se ocultaban señuelos, llamados canarios, diseñados para parecer contraseñas reales y credenciales de acceso. Al tocar uno, los defensores recibían una alerta.
Los resultados fueron alentadores. En 951 intentos de ataque, esos canarios avisaron a los defensores antes de que la IA alcanzara acceso de administrador el 95,9 % de las veces, con un margen mediano de ocho minutos.
Sin embargo, ocho minutos no son muchos para reaccionar y detener un ataque. Los modelos de IA tardaron de media 14 minutos en lograr una intrusión completa, así que una alerta con ocho minutos de antelación deja al equipo de seguridad unos seis minutos para ver el aviso, entender qué está pasando y pararlo.
Frente a algo que se mueve a velocidad de máquina, es un margen mínimo.
Pero si los sistemas de IA están programados para apagarse al encontrarse con ciertos mensajes políticamente sensibles, el truco puede funcionar.
Un desarrollador puede reentrenar un modelo para que sea menos escrupuloso ante una pregunta de seguridad, pero es mucho más difícil eliminar las restricciones políticas integradas por motivos normativos o de política de la empresa.
Estos temas políticamente sensibles o relacionados con la seguridad no son un fallo que haya que corregir, son una decisión de diseño deliberada que el desarrollador tiene que mantener.
Usar contra los piratas su propio truco
La inyección de instrucciones se ha utilizado sobre todo como herramienta en manos de los atacantes.
Si se oculta una orden dentro de un correo electrónico, una página web o una invitación de calendario, un agente de IA que la lea puede seguir esa instrucción escondida en lugar de hacer su trabajo real.
Esto ya se ha aplicado directamente contra las defensas basadas en IA, con programas maliciosos diseñados para engañar a las herramientas de análisis automático y lograr que las declaren inofensivas, simplemente incrustando texto pensado para confundir al sistema que las examina.
Tracebit decidió darle la vuelta a esa idea. En lugar de un señuelo que solo dispare una alarma, la empresa introdujo pequeños fragmentos de texto dentro de sus falsos secretos, redactados para empujar a cualquier atacante de IA hacia algo que sus propias normas de seguridad le impiden hacer.
Cuando la IA lee ese texto mientras explora el sistema, se activan sus salvaguardas internas y sencillamente se detiene. Tracebit llama a esto una bomba de contexto.
El truco tuvo que adaptarse a cada modelo de IA. El contenido que hacía referencia a armas biológicas peligrosas detenía de forma fiable a los modelos occidentales.
¿Funcionó realmente?
Tracebit probó el método con cinco modelos punteros de IA: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi K2.6. En 152 intentos de ataque, los resultados fueron llamativos.
La proporción de ejecuciones que alcanzaban acceso de administrador cayó del 57 % al 5 %. El control total del sistema, es decir, acceso de administrador más una presencia persistente en la red, pasó del 36 % al 1 %.
Las ejecuciones que completaron cualquier parte del ataque se redujeron del 91 % al 15 %. Y, algo crucial, en todas las ejecuciones que incluían una bomba de contexto se activó antes un canario, incluso en los intentos que no lograron entrar.
Opus 4.8 ofreció el ejemplo más claro. También fue el atacante más potente del grupo, alcanzó acceso de administrador en el 93 % de las ejecuciones sin bomba de contexto. Una vez se añadió, falló siempre.
Lo que esto no soluciona
Nadie en Tracebit afirma que esto vaya a resolver para siempre el problema de la inyección de instrucciones.
Sigue sin existir una forma real de evitar que los modelos de IA confundan a veces una orden con datos corrientes, y precisamente de ese fallo se aprovecha esta técnica.
Tampoco sustituye a la investigación previa sobre los canarios.
Las dos soluciones están pensadas para funcionar juntas, el estudio de mayo ofrece a los defensores una alerta con ocho minutos de antelación y la bomba de contexto intenta comprar aún más tiempo deteniendo el ataque antes de que se agote esa ventana de aviso.