Por: Edgardo Fuentes Cáceres – Director Ingeniería en Ciberseguridad UNAB
Durante años, quienes trabajamos en ciberseguridad hemos repetido una idea: el eslabón más débil de cualquier sistema es la persona. El correo con el enlace envenenado, el SMS que suplanta a Correos de Chile, el código QR falso pegado sobre un parquímetro. Todo ese fraude funciona porque explota nuestra atención, nuestra prisa o nuestra confianza. La defensa, entonces, pasaba por educarnos a nosotros.
Pero algo está cambiando, y conviene mirarlo con calma.
Un informe reciente de la empresa de ciberseguridad Proofpoint advierte que en los foros clandestinos ya se comercializan herramientas para una técnica nueva: la “inyección indirecta de prompts”. Traducido al lenguaje cotidiano, instrucciones ocultas dentro de un correo, un PDF, una invitación de calendario o un aviso publicitario, escritas no para que las lea usted, sino para que las obedezca la inteligencia artificial que trabaja por usted.
Ahí está el giro. El atacante ya no intenta engañar a la persona. Intenta engañar a la máquina en la que la persona empezó a delegar.
Pensemos en cómo estamos usando la IA hoy. Cada vez con más frecuencia le pedimos a un asistente que nos resuma la bandeja de entrada, que ordene la agenda de la semana, que extraiga los datos de una factura en PDF. Le entregamos una tarea y confiamos en el resultado. El problema es que ese asistente, para hacer su trabajo, tiene que leer el contenido. Y aquí aparece la vulnerabilidad de fondo, la que sugiero más importante de explicar: para un modelo de lenguaje, el texto que debe analizar y el texto que le da órdenes llegan por el mismo canal. No existe una frontera clara entre “esto es información” y “esto es una instrucción”. Todo es texto.
Los ejemplos que documenta el informe son ingeniosos justamente por lo invisibles que resultan. Un prompt escrito en letra blanca sobre fondo blanco dentro de un documento: usted no lo ve, el agente sí lo procesa. Una invitación a una reunión cuyo “orden del día” esconde instrucciones que el asistente ejecuta al resumirla. Un aviso publicitario que carga texto oculto y que un agente de IA, al visitar la página, interpreta como una orden. En todos los casos, el engaño ocurre en una capa que el ojo humano no alcanza a ver.
Conviene ser honesto con la magnitud del fenómeno, para no caer en la alarma fácil. El propio informe reconoce que estas técnicas están en una fase emergente, se basan más en investigación y pruebas de concepto que en ataques masivos observados en el mundo real. No estamos frente a una ola que ya golpea, sino frente a herramientas que se están afilando. La opinión compartida entre los investigadores es que es cuestión de tiempo. Y esa distinción importa.
¿Y qué significa prepararnos en un país como Chile, donde la adopción de asistentes de IA en empresas, servicios públicos y estudios profesionales avanza a paso firme? Tres ideas simples.
Primero, revisar la costumbre de delegar a ciegas. Si un asistente de IA resume un correo y de ese resumen se desprende una acción, reenviar algo, aprobar un pago, entregar un dato, esa acción merece una mirada humana antes de ejecutarse. La comodidad no debería convertirse en piloto automático.
Segundo, entender que la capacitación cambia de destinatario. Ya no basta con enseñarles a las personas a desconfiar de un enlace. Ahora, quienes implementan estos agentes en una organización deben diseñarlos asumiendo que van a leer contenido hostil. Un agente bien construido trata todo lo que recibe del exterior como potencialmente sospechoso, no como una orden legítima que debe cumplir.
Tercero, no confundir “todavía no pasa” con “no va a pasar”. El error más caro en seguridad es esperar el primer gran incidente para reaccionar. Los defensores lo dicen sin rodeos, la complacencia es el verdadero riesgo.
Hay algo casi poético en este desplazamiento. Durante años les pedimos a las personas que fueran más desconfiadas, más atentas, menos crédulas. Ahora tenemos que pedirle lo mismo, en cierto sentido, a las máquinas que construimos para ayudarnos. La inteligencia artificial hereda no solo nuestras capacidades, sino también nuestra vieja vulnerabilidad, la de confiar demasiado en lo que le dicen.
El eslabón débil no desapareció. Solo se cambió de lugar. Y esta vez, protegerlo depende menos de nuestra intuición y más de cómo decidamos diseñar la confianza que le entregamos a estas herramientas.
