CrowdStrike ha identificado cinco nuevas técnicas de prompt injection dirigidas contra agentes de inteligencia artificial, un tipo de ataque que gana relevancia a medida que las empresas integran sistemas autónomos capaces de acceder a archivos, ejecutar comandos, conectarse a herramientas externas y tomar decisiones dentro de flujos de trabajo corporativos.
Las técnicas, detalladas por el equipo de investigación en seguridad de IA de CrowdStrike, amplían a más de 200 los métodos documentados dentro de su taxonomía de ataques de prompt injection. El hallazgo refleja la rápida evolución de las tácticas adversarias y confirma que los agentes de IA se están convirtiendo en objetivos de alto valor para los ciberdelincuentes.
El riesgo ya no se limita a engañar a un chatbot para que responda algo indebido. En entornos empresariales, un agente de IA puede interactuar con correo electrónico, plataformas SaaS, APIs, repositorios de código, calendarios, documentos internos o sistemas de automatización. Si un atacante consigue manipular sus instrucciones, el impacto puede ir mucho más allá de una simple respuesta incorrecta.
1.Instrucciones dormidas que se activan más tarde
Una de las nuevas técnicas descritas por CrowdStrike es Trigger-Activated Rule Addition. Su objetivo es introducir instrucciones que permanecen inactivas hasta que se cumple una condición concreta.
El atacante puede esconder una regla dentro de un documento o una página web y hacer que solo se active cuando aparezca una palabra clave, una fecha, una acción específica o un determinado contexto.
Esta lógica de “carga dormida” dificulta la detección durante una revisión inicial, ya que el contenido puede parecer inofensivo hasta que el agente vuelve a procesarlo en otra fase del flujo de trabajo.
En un entorno corporativo, este tipo de ataque podría utilizarse para alterar el comportamiento de un agente cuando gestione determinados documentos, responda a un cliente concreto o acceda a un sistema específico.
2.Fragmentar el ataque para esquivar filtros
Otra técnica, Algorithmic Payload Decomposition, divide una instrucción maliciosa en fragmentos aparentemente benignos. Por separado, cada parte puede parecer inocua y no activar ningún filtro de seguridad.
El problema aparece cuando el agente procesa todos los elementos en conjunto y reconstruye la instrucción completa. De esta forma, el atacante consigue eludir sistemas de detección basados en patrones simples o listas de términos prohibidos.
Este enfoque muestra una tendencia clara: los ataques contra IA se están volviendo más compositivos. Ya no dependen de una única frase maliciosa, sino de cadenas de instrucciones, contexto y activadores que solo adquieren sentido cuando el sistema los combina.
3.Abuso de formato y tokens especiales
CrowdStrike también destaca Special Token Injection, una técnica que explota delimitadores, marcas de formato o estructuras utilizadas por los sistemas de IA para diferenciar instrucciones de usuario, mensajes del sistema y comandos de herramientas.
El atacante intenta que una entrada externa sea interpretada como si tuviera mayor prioridad de la que realmente tiene. En la práctica, esto puede buscar que el modelo trate texto no confiable como una instrucción del sistema o como una orden destinada a una herramienta integrada.
Esta técnica es especialmente relevante en agentes conectados a funciones de ejecución, ya que una elevación de prioridad en la instrucción puede provocar acciones no autorizadas o saltarse controles definidos por la organización.
4.Debilitar los mecanismos de rechazo
La técnica Cognitive Token Suppression persigue reducir la capacidad del modelo para activar respuestas de rechazo o advertencias de seguridad. Para ello, intenta limitar o condicionar el uso de vocabulario asociado a políticas, negativas o mensajes de protección.
Aunque pueda parecer una manipulación lingüística, su objetivo es claro: aumentar la probabilidad de que el sistema genere respuestas inseguras, ambiguas o contrarias a las restricciones previstas.
Este tipo de ataque demuestra que los adversarios no solo buscan dar órdenes al agente, sino alterar la forma en que el modelo razona y expresa sus límites.
5.Usuarios legítimos como vehículo del ataque
La quinta técnica, Unwitting User Delivery, combina prompt injection con ingeniería social. En este caso, el atacante engaña a un usuario legítimo para que introduzca el contenido malicioso en el sistema.
Puede hacerlo mediante texto copiado, documentos aparentemente normales, contenido incrustado en imágenes, páginas web preparadas o incluso extensiones de navegador comprometidas.
El impacto es mayor porque la instrucción llega al agente a través de una sesión autenticada y de un usuario confiable. Esto reduce la probabilidad de detección y permite que el ataque se ejecute dentro de un contexto corporativo válido.
