Qué es esto, en lenguaje de negocio
Tus herramientas de IA no distinguen entre lo que tú les dices y lo que leen. Si el asistente te resume el correo entrante, el texto de ese correo puede comportarse como una instrucción igual que tu propia petición.
Esto no es teórico. Mira cuál fue el vehículo en los casos documentados:
| Cuándo | Cuál fue el vehículo | Qué se filtró |
|---|---|---|
| junio de 2025 | un correo entrante en un asistente ofimático | datos de empresa accesibles para el sistema |
| junio de 2025 | un ticket de atención al cliente | el dato salió en la respuesta pública del ticket |
| septiembre de 2025 | datos de un lead desde un formulario web | datos de cliente, a través de una referencia de imagen |
| octubre de 2025 | una imagen (con el texto escondido dentro) | agentes de navegador entregaron direcciones de correo |
| enero de 2026 | un correo entrante | datos financieros, jurídicos y de salud, a un formulario del atacante |
| mayo de 2026 | un correo con una imagen externa | cargar la imagen sacó el dato fuera |
En los seis casos el vehículo fue algo que la empresa recibe a diario: correo, ticket, formulario, imagen. No hizo falta ninguna intrusión. El «texto ajeno» no es el mensaje de un hacker, es la comunicación de negocio que te entra todos los días.
La vulnerabilidad más conocida de este tipo, descubierta en el verano de 2025, la describe así el registro oficial: inyección de órdenes que permite a un atacante no autorizado exfiltrar información a través de la red. El fabricante la calificó de crítica en su propia clasificación.
Cuánto cuesta: la primera cifra expresada en dinero
Una encuesta de 2026 sobre 602 organizaciones con brechas desglosó por primera vez el coste de los tipos de incidente ligados a la IA:
| Tipo de incidente | Coste medio de la fuga |
|---|---|
| extracción de datos del modelo | 6,07 millones de dólares |
| prompt injection | 5,89 millones de dólares |
| mala configuración de nube en una carga de trabajo de IA | 5,25 millones de dólares |
| (para comparar: la media global) | 4,99 millones de dólares |
La explicación que da el informe de por qué sale por encima de la media: si el modelo se estropea, se estropea con él todo proceso de negocio que se apoye en él.
El contexto sin el cual la cifra engaña: solo el 21% de las organizaciones estudiadas declaró una fuga relacionada con IA, no la mayoría. Pero el 92% de ellas no tenía un control de accesos adecuado. El resumen que hace el propio informe de las causas es la frase más importante de todo el tema: las causas raíz fueron típicamente estructurales —fallos en interfaces conectadas, aplicaciones y configuraciones de nube—, lo que apunta a un problema de gobernanza, no de riesgo del modelo.
En lenguaje de negocio: el daño no vino de elegir mal el modelo, vino de que el agent tenía acceso a demasiadas cosas.
¿Hay solución completa? No, y lo dicen los investigadores
Esta parte importa porque el mercado vende lo contrario.
El equipo de Google DeepMind midió ocho defensas contra tres tipos de ataque en 2025, y en su propio trabajo escriben que el entrenamiento adversario no vuelve inmune al modelo y que los ataques con éxito siguen siendo posibles, sobre todo con más esfuerzo del atacante, con técnicas nuevas o con explotación dirigida. Para ellos esto hay que verlo como una capa de una estrategia de defensa en profundidad, no como una solución.
Los autores de la mejor solución arquitectónica conocida (del mismo entorno, junto con una universidad suiza) escriben ellos mismos que su sistema no protege frente a ataques por canal lateral, ni frente a ataques que no manipulan el flujo de datos: por ejemplo, si el atacante consigue que el asistente resuma otra cosa distinta de lo que dice el correo, o que recomiende un enlace de phishing.
Uno de los grupos de investigación que destapó un incidente lo formula de forma aún más general: no es un fallo de código de un software concreto, sino un problema de arquitectura que hay que tratar a nivel de sistema, y los modelos más modernos y más ajustados para la seguridad también son vulnerables.
Y la formulación más corta, del texto oficial de la lista profesional más conocida del área: por la naturaleza probabilística del funcionamiento de los modelos, no está claro que exista un método de prevención infalible para el prompt injection. Esa lista mantiene el prompt injection en el primer puesto en todas sus ediciones desde 2023, y un problema resuelto no encabeza una lista durante tres años.
Lo que sí se puede medir: poner capas funciona
Las cifras más instructivas de la medición de DeepMind:
| Montaje | Tasa de éxito del ataque |
|---|---|
| modelo antiguo, sin defensa, en la prueba habitual | 92% |
| modelo ajustado de forma adversaria, en la prueba habitual | 18% |
| el mismo modelo ajustado, en un ataque adaptativo (el atacante conoce la defensa) | 94,6% |
| lo mismo, más una capa externa de aviso, en ataque adaptativo | 6,2% |
De aquí se leen dos cosas.
La primera: poner capas funciona de verdad. Del 94,6% al 6,2%, pero solo con la mejora a nivel de modelo y la defensa externa a la vez. Ninguna de las dos basta por separado.
La segunda, y comercialmente pesa más: el mismo modelo se mueve entre el 18% y el 94,6% según cómo se mida. En la frase autocrítica de los propios investigadores, si no hubieran hecho ataques adaptativos habrían concluido erróneamente que el modelo era más robusto de lo que es.
Traducido para quien vaya a comprar un producto de «seguridad de IA»: un fabricante que mida su propio filtro solo sobre un conjunto de pruebas estático obtendrá de forma sistemática un resultado cinco o seis veces mejor del que lograría frente a un atacante real. Si el fabricante no dice que midió con ataques adaptativos, su número no significa nada.
Dos datos medidos más que matizan las promesas habituales:
- El filtro de contenido es débil. Con un filtro calibrado a un 10% de falsas alarmas, el mejor ataque seguía pasando más del 90% de las veces.
- La defensa tiene un precio en utilidad. En la medición, la mejor solución arquitectónica resolvió el 77% de las tareas con seguridad demostrable, frente al 84% del sistema sin defensa. Quien promete que la protección sale gratis se equivoca.
La trampa que está al final de cualquier defensa
Los autores de esa solución arquitectónica destacan aparte el problema de la «fatiga del usuario». En la práctica, su sistema no bloquea las operaciones que incumplen la regla de seguridad: pide confirmación al usuario.
Hasta la mejor defensa técnica conocida termina en un botón humano de aprobación. Quien lo pulsa cincuenta veces al día no está protegiendo nada.
Esto no es un argumento contra la aprobación. Es un argumento para que sea rara. De dónde conviene ponerla habla el humano en el proceso, con el lado de los flujos de trabajo desarrollado.
Cinco decisiones que también puede tomar una empresa de diez personas
La literatura usa un modelo sencillo: para que haya fuga hacen falta tres ingredientes —acceso a datos privados, exposición a contenido no fiable y una vía para comunicar hacia fuera—. Dos cualesquiera de ellos por separado son seguros. De ahí salen las cinco decisiones:
1. No le des al agent acceso al buzón y a la internet abierta a la vez. Si le pides un resumen del correo entrante, que después no pueda enviar nada fuera. El caso de junio de 2025 y el de enero de 2026 fueron exactamente eso.
2. Acceso por roles y autenticación multifactor también para las integraciones de IA. El agent no debe correr con los permisos del director general. Es el único punto con una cifra dura detrás: al 92% de los incidentes ligados a IA le faltaba esto.
3. Aprobación humana en todo paso que toque dinero, contratos o comunicación externa, pero pocas veces. Ver la fatiga del usuario.
4. El contenido entrante no es una instrucción. Tickets de cliente, correos, PDF, páginas web, invitaciones de calendario: son datos. Si el sistema puede ejecutarlos como instrucciones, ese es el fallo.
5. Registra lo que hizo el agent, y míralo de verdad. El 63% del coste de la fuga viene de la detección, del escalado y del negocio perdido, y lo que mejora eso es el tiempo de detección.
La frase marco más útil que ha producido la comunidad profesional del área: no intentes construir un modelo al que no se pueda engañar; construye el sistema a su alrededor de forma que, cuando lo engañen —y lo van a engañar—, no se rompa nada importante.
Qué no hacer
No compres un filtro como solución. Según el dato medido, más del 90% de los ataques pasaba incluso con un 10% de falsas alarmas. Vale como capa, no como solución.
No te dejes deslumbrar por el salto de cifras. Del 92% al 18%: es cierto, solo que no en ataque adaptativo. Pregúntale al fabricante cómo midió.
Y tampoco entres en pánico. La fuga relacionada con IA afectó a una quinta parte de las organizaciones estudiadas, no a la mayoría. El problema es raro y caro, no frecuente y catastrófico.
Lo que conviene llevarse
El prompt injection no es código defectuoso, es una propiedad de la arquitectura: la máquina no sabe distinguir entre la instrucción y el texto que ha leído. No hay solución completa, y lo dicen los mejores grupos de investigación.
Lo que sí hay: poner capas ayuda de forma medible, el control de accesos es el paso suelto que mejor rinde, y separar los tres ingredientes —dato privado, contenido ajeno, canal de salida— es una decisión que también cabe en una empresa de diez personas.
Del detalle técnico del mecanismo habla el prompt injection explicado, y de recortar los permisos de los agentes los agentes con el mínimo privilegio, que es la continuación práctica.