Durante casi tres décadas, la seguridad informática se construyó sobre una premisa que parecía obvia: el código es peligroso, los datos no. Un archivo de texto no podía hacerte daño; un ejecutable sí. Toda la industria de la ciberdefensa —antivirus, firewalls, sandboxes— creció apoyada en esa frontera. El problema es que los agentes de inteligencia artificial acaban de borrarla. Y casi nadie lo vio venir.
De dónde venimos: la frontera que se daba por sentada
La idea de que un sistema confunda datos con instrucciones no es nueva. Bruce Schneier la describió como un problema «tan viejo como la propia seguridad informática», y tiene razón. Hace veinte años, la inyección SQL explotaba exactamente esa confusión: una aplicación que no distinguía entre lo que el usuario escribía y lo que la base de datos debía ejecutar. La solución de entonces fue separar tajantemente ambas cosas. Funcionó, más o menos, durante años.
Pero los modelos de lenguaje rompieron esa solución de raíz, y lo hicieron por diseño. Un agente de IA necesita mezclar las instrucciones de su desarrollador con los datos que encuentra en el mundo —correos, páginas web, documentos, tickets de soporte— en una sola entrada unificada. No hay, en la arquitectura actual de estos sistemas, una pared que separe «lo que debo obedecer» de «lo que solo debo leer». El NIST lo formuló sin rodeos: el agente combina instrucciones confiables del desarrollador con datos externos relevantes en un mismo flujo de entrada, y ahí nace la vulnerabilidad. Al principio esto era una curiosidad académica. Greshake y sus colegas describieron la inyección indirecta de prompts en 2023 como una hipótesis preocupante. Tres años después, dejó de ser hipótesis.
Dónde estamos: el día que la teoría se volvió incidente
En junio de 2025 ocurrió algo que conviene mirar con calma, porque marca un antes y un después. Investigadores de Aim Labs revelaron una vulnerabilidad en Microsoft 365 Copilot a la que llamaron EchoLeak, registrada como CVE-2025-32711 y calificada por Microsoft como crítica con una puntuación CVSS de 9.3. Lo relevante no es solo la severidad. Es el mecanismo. EchoLeak fue el primer ataque «zero-click» conocido contra un agente de IA: la víctima no tenía que hacer absolutamente nada. Bastaba con que un correo malicioso —con instrucciones ocultas en comentarios HTML o texto blanco sobre blanco, invisible para cualquier humano— llegara a la bandeja de entrada. Cuando el usuario más tarde le pedía a Copilot un resumen cualquiera, el motor de recuperación del agente arrastraba ese correo a su contexto y ejecutaba las órdenes escondidas, exfiltrando datos internos hacia un servidor del atacante.
Para lograrlo, el ataque encadenó cuatro evasiones distintas: burló el clasificador XPIA de Microsoft diseñado precisamente para detectar inyecciones, esquivó la redacción de enlaces usando Markdown de estilo referencial, abusó de imágenes que se cargan automáticamente y explotó un proxy de Microsoft Teams permitido por la política de seguridad de contenido. No fue un descuido puntual. Fue la demostración de que varias capas de defensa pensadas para el modelo fallaron simultáneamente porque ninguna atacaba el problema de fondo.
Y EchoLeak es apenas el caso más nítido de un patrón más amplio. Científicos de Google DeepMind propusieron una taxonomía que ordena estas «trampas» en seis categorías, y vale la pena entenderlas porque describen cómo se puede engañar a un agente en cada etapa de su funcionamiento. Está la inyección de contenido, que es lo que vimos en EchoLeak: instrucciones escondidas donde el humano no mira pero el agente sí lee. Está la manipulación semántica, más sutil, que ni siquiera le ordena nada al agente: simplemente satura su entorno de información con repetición, lenguaje emocional, falsa autoridad y afirmaciones coordinadas para empujarlo hacia la conclusión que el atacante quiere. Si le pides a un agente que elija un proveedor y este encuentra reseñas que machaconamente describen a una empresa como «el estándar de oro» mientras siembran dudas sobre la competencia, la manipulación del entorno informativo se convierte en la manipulación de la decisión. Ninguna herramienta basada en firmas detectará nada, porque no hay código malicioso: hay razonamiento secuestrado.
Vienen luego las trampas de estado cognitivo, que envenenan la memoria del agente. Aquí los números son incómodos. En la conferencia USENIX Security de 2025, el trabajo conocido como PoisonedRAG mostró que inyectar apenas cinco textos manipulados por cada pregunta objetivo bastaba para que un sistema de recuperación produjera la respuesta elegida por el atacante en torno al 90% de las veces, incluso cuando la base de conocimiento contenía millones de textos legítimos. Cinco documentos contra millones, y el sistema obedece a los cinco. Está también el control conductual, donde la interpretación se traduce en acción —enviar datos, aprobar una transacción, ejecutar código— y donde el daño depende enteramente de cuántos permisos tenga el agente. Y quedan dos categorías que DeepMind considera todavía más teóricas: las trampas sistémicas, que podrían inducir a muchos agentes a comportarse de forma correlacionada y provocar congestión o fallos en cascada, y las trampas sobre el humano supervisor, donde un agente comprometido engaña justamente a la persona que debía aprobar sus acciones.
¿Qué tan vulnerables son los agentes hoy? El NIST hizo el experimento. Su Centro de Estándares e Innovación en IA probó agentes con el marco AgentDojo y midió que, en un conjunto de cinco tareas de inyección, la tasa de éxito promedio de los ataques fue del 57%. Pero ese número engaña por optimista. Cuando los evaluadores permitieron que cada ataque se intentara veinticinco veces —algo trivial para un atacante real— el promedio subió al 80%. Y cuando un equipo de red team diseñó ataques optimizados específicamente para el modelo, la tasa de éxito saltó del 11% al 81%. La lección es dura: la robustez aparente de un agente frente a ataques conocidos no dice casi nada sobre su robustez frente a un adversario que se molesta en estudiarlo.
Hacia dónde vamos: el problema no desaparece, se normaliza
Conviene ser honesto sobre el futuro. Microsoft parcheó EchoLeak y ningún caso de explotación real salió a la luz. Pero la clase de riesgo que reveló no se parchea con una actualización, porque no es un error de implementación: es una propiedad de cómo funcionan estos sistemas. Mientras un agente tenga que leer contenido del mundo y actuar sobre él, alguien podrá esconder instrucciones en ese contenido.
Lo que cambiará es la escala. Hoy hay relativamente pocos agentes con permisos amplios operando de forma autónoma. A medida que las organizaciones desplieguen flotas de agentes que se comunican entre sí, las categorías que DeepMind llama «teóricas» dejarán de serlo. Un agente comprometido que produce un resumen en el que otros agentes confían puede propagar una creencia falsa por toda una cadena, igual que una utterance maliciosa en un espacio conversacional compartido contamina a todos los que dependen de ese contexto. Y a medida que los usuarios nos acostumbremos a confiar en los resúmenes que generan los agentes —a no verificar, porque casi siempre aciertan— la trampa sobre el supervisor humano se vuelve más fácil, no más difícil. La complacencia es parte de la superficie de ataque.
Hay una asimetría que define todo este terreno. El defensor tiene que separar instrucciones de datos en cada interacción, en cada fuente, en cada momento. El atacante solo necesita un canal donde esa separación falle una vez.
Qué hacer al respecto
No existe un control único que resuelva esto, y desconfiar de cualquiera que lo prometa es el primer paso. Lo que sí existe es una arquitectura defensiva en capas que parte de una idea organizadora: la seguridad debe seguir a la autoridad, y debe haber una línea clara entre la capacidad de interpretar y la capacidad de actuar.
El principio más importante, y el más descuidado, es el de privilegio mínimo aplicado al agente. Hay que concederle únicamente el acceso a datos y los permisos de herramientas que la tarea concreta exige, ni uno más. Esa restricción es, muchas veces, la diferencia entre un agente que entrega un resumen equivocado y el mismo agente leyendo archivos confidenciales y comunicándolos al exterior. En EchoLeak, el daño fue posible porque Copilot podía alcanzar todo lo que el usuario podía alcanzar; un agente con alcance acotado habría tenido mucho menos que filtrar.
Sobre esa base se construye el resto. La procedencia de la información importa: las organizaciones deben saber de qué fuentes recuperan sus agentes, quién puede modificar esas fuentes, cómo se verifican las afirmaciones y si las memorias almacenadas pueden revisarse o eliminarse. El cribado de contenido entrante ayuda, aunque EchoLeak demostró que los clasificadores se pueden evadir, así que no debe ser la única línea. La ejecución aislada limita el radio de explosión cuando algo sale mal. Y para las acciones de alto impacto —mover dinero, borrar datos, enviar información fuera del perímetro— debe existir un marco de aprobación independiente con un humano en el circuito, diseñado teniendo en cuenta que ese mismo humano puede ser el objetivo del engaño.
Por encima de los controles técnicos hay un cambio de modelo mental que pendiente en la mayoría de las organizaciones. La gobernanza de la información dejó de ser un asunto de cumplimiento y pasó a ser un componente operativo de la seguridad de la IA. La pregunta ya no es solo qué puede hacer un agente, sino cómo decide en qué confiar. Que complete una tarea no está en duda. Lo que está en duda es si puede reconocer cuándo el entorno del que se nutre está intentando manipularlo.
Veinte años atrás aprendimos a no confiar en la entrada del usuario. La lección de esta década es más incómoda: hay que enseñarle a un sistema que razona a desconfiar de aquello que lee, sin que esa desconfianza lo paralice. Todavía no sabemos hacerlo bien. Por ahora, la defensa más sólida sigue siendo la más antigua de todas: no darle a nadie —ni siquiera a una máquina servicial— más poder del que necesita para la tarea que tiene delante.
