El ‘context bombing’: la nueva defensa contra el ‘prompt injection’ en IA
El 'prompt injection' ya tiene su propio contraataque: inyectar falsas instrucciones también a los hackers
Durante los últimos dos años, el prompt injection ha sido el arma favorita de los ciberatacantes contra sistemas de inteligencia artificial. Este método consiste en esconder una instrucción maliciosa dentro de un correo, una invitación de calendario o una página web para que un agente de IA acabe obedeciendo al intruso en lugar de a su usuario legítimo. Sin embargo, esta misma técnica también puede ser utilizada para detener a los atacantes.
La firma de ciberseguridad Tracebit ha publicado una investigación que demuestra cómo se puede frenar a un agente de IA atacante simplemente colocando, junto a las contraseñas y claves que el atacante busca robar, un texto diseñado para activar los propios mecanismos de rechazo del modelo. Esta técnica ha sido bautizada como context bombing, o «bombardeo de contexto».
La lógica detrás de este método es sencilla de entender. Todos los grandes modelos de lenguaje tienen ciertos temas que se niegan a tratar por motivos de seguridad o razones políticas y regulatorias. Tracebit aprovecha esto colocando cerca de las credenciales falsas fragmentos de texto que empujan al modelo hacia esos terrenos prohibidos. Según Andy Smith, cofundador y CEO de Tracebit, al activar un mecanismo de rechazo en el contexto, el modelo sigue rechazando cualquier instrucción posterior.
No todos los modelos responden a los mismos estímulos, por lo que la trampa debe adaptarse a cada caso. Para modelos occidentales, como los de Anthropic o Google, se han usado referencias a la fabricación de armas biológicas. Para los modelos desarrollados en China, la clave ha sido mencionar a «Tank Man», el hombre que se plantó frente a los tanques en la masacre de Tiananmen de 1989, un tema prohibido por la censura del Gobierno chino.
Tracebit probó la técnica sobre cinco de los modelos más avanzados (Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6) simulando un entorno de Amazon Web Services (AWS). En 152 intentos de ataque, los resultados fueron contundentes: los ataques que lograban acceso de administrador cayeron del 57% al 5%, y los que conseguían dejar una puerta trasera permanente pasaron del 36% al 1%. El porcentaje de intentos que completaban al menos alguna fase del ataque bajó del 91% al 15%.
El caso más llamativo fue el de Opus 4.8, el modelo más eficaz de los cinco a la hora de atacar, que sin la trampa de contexto conseguía acceso de administrador en el 93% de los intentos; con ella, fracasó en el 100% de los casos.
La técnica explota una vulnerabilidad difícil de corregir, ya que las restricciones políticas o regulatorias son decisiones de diseño deliberadas, no fallos que se puedan «arreglar». Esto convierte esas barreras en un punto de apoyo estable para desarrollar protecciones ante estos ataques.
En mayo, Tracebit ya había presentado un sistema de «canarios», recursos falsos en la nube que parecen legítimos pero no se usan realmente, disparando alertas para el equipo de seguridad. Sin embargo, el context bombing nace para detener el ataque en lugar de limitarse a avisar de él.
