Un nuevo tipo de ataque, denominado inyección de datos de agente (ADI), permite a un atacante manipular a los agentes de inteligencia artificial para que realicen acciones no deseadas, como hacer clic en un botón de compra o ejecutar comandos arbitrarios, sin alterar la tarea principal del agente. En lugar de secuestrar la instrucción, el ataque corrompe los datos que el agente considera confiables, permitiendo que continúe su labor sobre información falsa. El hallazgo fue presentado en un artículo del 6 de julio por investigadores de la Universidad Nacional de Seúl, la Universidad de Illinois en Urbana-Champaign y Largosoft.
El método se basa en lo que los investigadores denominan inyección probabilística de delimitadores. Los agentes envuelven sus datos en signos de puntuación que marcan el inicio y fin de cada campo, como comillas, llaves o corchetes. Mientras que un programa normal interpreta estos delimitadores de forma estricta, un modelo de lenguaje los interpreta por aproximación. Un atacante puede insertar caracteres similares a delimitadores en un campo que controla, y el modelo los leerá como una estructura real que no existe, creando campos adicionales o botones falsos.
- Los investigadores desarrollaron tres ataques funcionales en herramientas reales:
- – En agentes web (Claude en Chrome, Antigravity de Google y Nanobrowser), una reseña plantada reutiliza el ID de un botón real, haciendo que el agente haga clic en 'Comprar ahora' en lugar de 'Leer más'.
- – En asistentes de código (Claude Code, Codex de OpenAI y Gemini CLI de Google), un comentario en GitHub falsifica la línea de autor para que parezca escrito por un mantenedor, y el agente ejecuta el comando del atacante.
- – Un pull request malicioso falsifica el registro de una verificación que nunca ocurrió, mostrando un resultado limpio en el historial; el agente revisa ese resultado falso, juzga el código seguro y lo fusiona.
Vulnerabilidad generalizada y defensas
Todos los modelos probados resultaron vulnerables: GPT-5.2 y GPT-5-mini de OpenAI, Claude Opus 4.5 y Sonnet 4.5 de Anthropic, y Gemini 3 Pro y Flash de Google. El ataque tuvo éxito entre el 31% y el 43% del tiempo en datos estructurados, y entre un tercio y la totalidad de los intentos en datos de páginas web. Las defensas diseñadas para detener la inyección clásica de instrucciones bloquearon ese ataque casi por completo, pero contra ADI tuvieron una tasa de éxito de hasta el 50%.
Sin embargo, el navegador Atlas de ChatGPT esquivó el ataque de clics al etiquetar cada elemento con un ID aleatorio e imposible de adivinar, en lugar de un simple contador. Los investigadores descubrieron que agregar una etiqueta aleatoria corta a los nombres de campo redujo el ataque aproximadamente a la mitad (de 49% a 29%), sin afectar la utilidad del agente. Una defensa más pesada que rastrea el origen de cada dato detuvo por completo el ataque, pero redujo la finalización de tareas normales a solo un tercio. Eliminar la puntuación también redujo el ataque, pero afectó la capacidad del agente para leer enlaces y rutas de archivo.
Los ataques son solo pruebas de concepto y no se ha reportado uso en el mundo real. El equipo notificó a los proveedores antes de publicar; OpenAI, Google y Anthropic confirmaron los informes, mientras que Nanobrowser aún no había respondido. Para que el ataque funcione, el agente debe procesar contenido editable por un extraño (como hacen los agentes web y de GitHub) y el atacante debe conocer el formato en que el agente empaqueta los datos. Según el investigador Woohyuk Choi, incluso en servicios en la nube donde el formato no es visible, lograron obtenerlo mediante un jailbreak de múltiples turnos. Choi espera que el formato siga siendo recuperable a medida que los modelos mejoren, porque los modelos de lenguaje no pueden mantener ese tipo de secreto de forma confiable.
Contexto y lecciones
El problema de confianza subyacente ya había aparecido antes. En junio de 2025, Aim Security reveló EchoLeak (CVE-2025-32711), una vulnerabilidad en Microsoft 365 Copilot donde un correo electrónico malicioso podía filtrar archivos internos sin necesidad de clic. Microsoft lo parcheó. En mayo de 2025, Invariant Labs mostró que un issue público de GitHub podía dirigir a un agente a leer un repositorio privado. Más recientemente, pruebas cruzadas lograron que Claude Code, Gemini CLI y Copilot filtraran sus propios secretos a través de issues y pull requests, sorteando las protecciones de GitHub. ADI da un paso más: falsifica quién dijo qué y falsea el registro de lo que el agente ya hizo.
Los investigadores concluyen que los agentes han adoptado la primera lección del software tradicional (separar código de datos), pero han ignorado la segunda: mantener los datos confiables separados de los no confiables. Dentro de la memoria del agente, el nombre del remitente de un correo está al lado del cuerpo del mismo, sin marca que indique qué está verificado por el sistema y qué fue escrito por un extraño. Hasta que los agentes tracen esa línea, una mentira convincente sobre quién envió algo es todo lo que necesita un ataque.
Deja una respuesta