¿Qué pasa cuando el ciberataque va dirigido a una IA? A medida que los agentes inteligentes ganan autonomía y capacidad para actuar en nuestro nombre, también aumenta el interés por manipularlos. El Indirect Prompt Injection es una amenaza capaz de esconder instrucciones maliciosas allí donde la IA busca información. Y puede convertir una tarea aparentemente cotidiana en una potencial puerta de entrada para un ataque.
Ejemplo cotidiano: imagina que le pides a tu agente de IA que busque un hotel para viajar este fin de semana. Le indicas que tu presupuesto máximo son 180 euros por noche, que necesitas que esté en el centro y que tenga buena reputación. A partir de ahí, esperas que consulte diferentes páginas y encuentre una opción que se ajuste a tus preferencias. Sin embargo, ¿qué ocurre si en una de esas webs se encuentra con un texto oculto diseñado específicamente para manipular sistemas de IA? Deja de imaginar. Esto es lo que se conoce como Indirect Prompt Injection, “o algo parecido a un ataque de phishing para agentes de IA”. Apunta Hervé Lambert, Global Consumer Operation Manager de Panda Security.
¿Qué es el Indirect Prompt Injection?
El Indirect Prompt Injection “es un tipo de ataque contra sistemas de IA en el que las instrucciones maliciosas no las escribe directamente el usuario. Sino que están escondidas en contenido externo que la IA consulta o procesa”. Explica el experto.
No se trata de una amenaza menor. El Prompt Injection ocupa el primer puesto de la clasificación de riesgos para aplicaciones basadas en grandes modelos de lenguaje (LLM). Elaborada por OWASP (Open Worldwide Application Security Project), una organización internacional de referencia en seguridad del software.
Una de las particularidades de estos ataques es que la persona puede no tener ningún contacto directo con el contenido malicioso. “El usuario no tiene por qué haber hecho clic en un enlace sospechoso ni descargado un archivo extraño”, señala Lambert. Es el agente de IA el que, al consultar una página web, procesar un documento o analizar un correo electrónico, puede encontrarse con instrucciones introducidas por un atacante.
“Este texto oculto puede dar órdenes a la IA para que priorice determinadas búsquedas, modifique el comportamiento del bot y recomiende ciertas páginas o productos por encima de otros”. Continúa Lambert. El agente puede terminar siguiendo las instrucciones de un tercero mientras el usuario cree que continúa respondiendo exclusivamente a la petición original.
“El problema adquiere otra dimensión cuando hablamos de agentes capaces de actuar, es decir, de realizar una reserva, enviar un correo electrónico, acceder a documentos o interactuar con otros servicios”. Apunta el experto de Panda Security. Quien advierte de que “en esos casos, conseguir que una IA obedezca una instrucción escondida en una fuente externa puede tener consecuencias que van mucho más allá de ofrecer una respuesta equivocada”.
¿Qué puede pasar si un agente de IA es manipulado?
“Cuanto mayor sea la autonomía del agente y más herramientas tenga a su disposición, mayor puede ser el impacto de un ataque”. Explica Lambert. Es ahí donde el Indirect Prompt Injection deja de ser únicamente un problema relacionado con la fiabilidad de las respuestas y se convierte en una amenaza de ciberseguridad.
Si el agente tiene acceso a información personal, correos electrónicos, documentos, servicios en la nube o aplicaciones de terceros, una instrucción maliciosa podría intentar inducirlo a revelar información confidencial, enviar datos al exterior o ejecutar acciones que el usuario no había solicitado. Las consecuencias pueden abarcar desde la pérdida de privacidad y el fraude hasta el robo de información, la exposición de credenciales o el acceso no autorizado a recursos.
Uno de los escenarios más preocupantes es la exfiltración de datos. Un documento, una página web o un correo electrónico preparado para ser procesado por una IA puede contener instrucciones destinadas a conseguir que el agente localice información a la que tiene acceso y la transmita a un tercero. Todo ello puede ocurrir mientras el sistema aparentemente continúa realizando la tarea legítima que le había encargado el usuario.
No es un escenario meramente hipotético dentro del análisis de esta amenaza. Google contempla entre los posibles ataques de Indirect Prompt Injection que un sistema revele información interna, ejecute una acción no autorizada al procesar un documento o extraiga información confidencial de un archivo y la envíe a un destino externo.
Del usuario particular a las empresas e instituciones
El riesgo no termina en el dispositivo o las cuentas de un usuario. “La incorporación de agentes de IA a entornos profesionales amplía considerablemente la superficie de ataque”. Advierte Lambert.
Empresas, administraciones e instituciones pueden utilizar estos sistemas para consultar documentación interna, analizar correos electrónicos, elaborar informes, gestionar información de clientes o interactuar con herramientas corporativas. En estos entornos, el agente puede disponer de acceso a datos y capacidades mucho más sensibles que los de un asistente utilizado exclusivamente para tareas personales.
“También existe el riesgo de que el agente sea usado como punto de entrada para encadenar diferentes acciones dentro de una organización”. Asegura el experto de Panda Security. Si puede consultar bases de datos, utilizar herramientas corporativas o comunicarse con otros sistemas, una manipulación exitosa podría aprovechar esas capacidades para ampliar el alcance del incidente.
La gravedad de un Indirect Prompt Injection, por tanto, no depende únicamente de que el modelo caiga en el engaño. Depende también de una cuestión fundamental. Qué puede hacer una vez engañado. Los datos que puede consultar, las aplicaciones con las que puede interactuar y los permisos que tiene concedidos determinan hasta dónde podría llegar el ataque.
¿Y podemos ponerle una cifra económica?
Todavía no existe una estimación suficientemente representativa que permita determinar cuánto cuesta específicamente un ataque de Indirect Prompt Injection. Sin embargo, “sí podemos poner en contexto el impacto económico de algunas de sus posibles consecuencias, como una brecha de datos”. Asegura Lambert.
Según el Cost of a Data Breach Report 2026 de IBM, el coste medio mundial de una brecha de datos alcanza los 4,99 millones de dólares. Las brechas maliciosas habilitadas por IA analizadas por la compañía elevaron la factura hasta los 6 millones de dólares de media. Aproximadamente un millón más que el promedio global.
Conviene no confundir ambas cuestiones. IBM señala que estos últimos ataques estuvieron protagonizados principalmente por suplantaciones mediante deepfakes y malware asistido por IA. Por lo que los seis millones de dólares no representan el coste medio de un ataque de Indirect Prompt Injection. “Las cifras sirven, en cambio, para dimensionar las consecuencias económicas que puede alcanzar una brecha de seguridad cuando termina afectando a los sistemas y la información de una organización”. Reflexiona Lambert.
¿Por qué es tan difícil evitar un Indirect Prompt Injection?
Parte del problema está en la propia función de estos sistemas. Para resultar útil, un agente necesita interpretar instrucciones y, al mismo tiempo, procesar información procedente del exterior. Una página web, un correo electrónico o un documento deberían ser únicamente fuentes de información, pero pueden contener texto diseñado para que el modelo lo interprete como una orden.
Separar ambos mundos “lo que el agente debe leer de lo que realmente está autorizado a obedecer”, recuerda Lambert, constituye uno de los grandes retos de seguridad de la IA generativa. Por eso, la protección frente al Prompt Injection no puede depender de una única barrera.
La estrategia pasa por aplicar diferentes capas de seguridad. “Detectar contenido potencialmente malicioso, limitar los permisos del agente, restringir su acceso a información sensible y exigir la intervención del usuario antes de ejecutar determinadas acciones”. Explica el experto. La confirmación humana resulta especialmente importante cuando el sistema pretende enviar información, eliminar datos, realizar pagos o ejecutar cualquier operación con consecuencias relevantes.
¿Cómo podemos protegernos?
“La primera regla es no conceder a un agente de IA más permisos de los estrictamente necesarios”. Recomienda Lambert. Si únicamente necesita consultar determinada información para realizar una tarea, no debería disponer de acceso permanente a otras cuentas, documentos o servicios que no necesita.
También es recomendable revisar cuidadosamente qué aplicaciones se conectan a los asistentes de IA y qué información pueden consultar. Dar acceso al correo electrónico, almacenamiento en la nube, calendarios, herramientas de trabajo o información financiera aumenta las capacidades del agente, pero también las posibles consecuencias de una manipulación.
En las acciones sensibles, la última palabra debería seguir siendo humana. Enviar información confidencial, realizar un pago, eliminar archivos, modificar permisos o comunicarse con terceros son operaciones que deberían requerir una confirmación explícita antes de ejecutarse.
En el ámbito empresarial, estas precauciones deben complementarse con políticas específicas para el uso de agentes de IA. Aplicar el principio de mínimo privilegio, segmentar el acceso a los datos, registrar y supervisar las acciones realizadas por los agentes y establecer controles adicionales para aquellas operaciones que puedan afectar a información sensible o a sistemas críticos.
Y, sobre todo, conviene abandonar la idea de que todo el contenido que procesa una IA es necesariamente información pasiva. Una web, un documento o un correo electrónico también pueden convertirse en el vehículo de una instrucción maliciosa.
La lógica del phishing consistía en engañar a una persona para conseguir que hiciera algo que no debía. Con el Indirect Prompt Injection, el objetivo puede ser diferente. Engañar al sistema que actúa en su nombre. Y cuanto mayor sea la autonomía que concedamos a estos agentes, más importante será controlar qué información pueden consultar, qué instrucciones están autorizados a seguir y hasta dónde les permitimos actuar.