El modelo no distingue entre lo que le dices tú y lo que lee. Si le pides un resumen de un correo entrante, el texto de ese correo puede comportarse como instrucción igual que tu petición. No hay que engañarte a ti, hay que engañar al modelo — y para eso basta una página web, un correo o un currículum.
No es un riesgo teórico. En los casos documentados el portador fue siempre algo que una empresa recibe a diario: un correo entrante, un ticket de soporte, un formulario web, una imagen. No hizo falta ninguna intrusión. Y tiene precio: en una encuesta de 2026 sobre 602 organizaciones vulneradas, una fuga de datos con prompt injection de por medio costó de media 5,89 millones de dólares.
El error más frecuente es creer que se arregla con un prompt. No se arregla con un prompt, y tampoco existe una solución completa — lo dicen los propios grupos de investigación punteros. Lo que sí funciona de forma medible es la defensa por capas y, sobre todo, que un modelo secuestrado no pueda hacer gran cosa.
El mecanismo básico lo desglosa Prompt injection: cuando alguien secuestra tu instrucción, un artículo aparte. Los conceptos directamente relacionados: least privilege, jailbreak y OWASP LLM Top 10.