Sí. Una IA puede influir en la respuesta o las acciones de otra si esta procesa instrucciones maliciosas, ya sea en un mensaje directo o escondidas en una página, un archivo o el resultado de una herramienta. En sistemas con agentes, esa influencia puede propagarse a través de decisiones delegadas, memoria compartida o herramientas conectadas. Aquí, «corromper» significa alterar el comportamiento durante la ejecución o provocar una acción no autorizada; no implica que una IA infecte literalmente el modelo o cambie sus pesos. Un filtro puede ayudar, pero no sustituye los permisos ni la autorización.
Cómo puede una IA influir en otra
El riesgo aparece cuando un modelo interpreta como instrucciones contenido que debería tratar como datos. OWASP denomina prompt injection a esta vulnerabilidad: una entrada puede cambiar la conducta o la salida prevista del modelo. La inyección puede ser directa —por ejemplo, una solicitud maliciosa del usuario— o indirecta, cuando el modelo procesa texto controlado por un atacante dentro de una web, un documento u otra fuente externa. La guía LLM01:2025 Prompt Injection de OWASP describe ambas vías.
As an Amazon Associate I earn from qualifying purchases.
Inyección directa e indirecta
En la inyección directa, el intento llega en la conversación con el modelo. En la indirecta, las instrucciones forman parte de contenido que el modelo consulta o recibe de otro sistema. El usuario no tiene por qué ver esas instrucciones para que el modelo las procese. Si el modelo solo genera texto, el efecto puede limitarse a una respuesta manipulada o incorrecta; si además puede acceder a datos o ejecutar funciones, el impacto potencial aumenta.
PC Slower Than It Used to Be?
A free scan shows the junk files, broken settings and background clutter dragging Windows down - then fixes them in one click.Free scan · Windows 10 & 11Crashes, No Sound, or Screen Glitches?
Random freezes, missing sound and display glitches usually trace back to one bad driver. Find and replace yours safely.Free scan · under a minuteDe un agente a otro
En un flujo multiagente, un modelo puede resumir contenido para otro, pedirle que realice una tarea o pasarle resultados de herramientas. Si la primera salida está manipulada y la segunda la toma como fiable, el problema puede avanzar por la cadena. La guía de OWASP LLM06:2025 Excessive Agency incluye entre los posibles detonantes un agente compañero malicioso o comprometido. Eso describe una ruta de riesgo, no demuestra que cualquier agente pueda alterar el código o los parámetros internos de otro.
#1 Best Overall
La memoria y las herramientas también importan: contenido engañoso guardado para uso posterior puede afectar decisiones futuras, y una respuesta manipulada puede llevar a invocar una herramienta de forma indebida. El AI Vulnerabilities Playground de OWASP incluye ejercicios sobre inyección directa e indirecta, abuso de herramientas, envenenamiento de memoria y comunicación multiagente.
Qué significa «corromper» y qué no
En este contexto, «corromper» es una forma coloquial de describir una alteración del comportamiento en tiempo de ejecución: el sistema produce una salida manipulada, divulga información, utiliza una función sin autorización o ejecuta una acción que no debía. OWASP identifica estos tipos de consecuencias en su guía sobre prompt injection y riesgos de agencia.
Rank #2
Eso no es lo mismo que modificar los pesos o el código del modelo, ni equivale automáticamente a envenenar sus datos de entrenamiento. Esos son problemas distintos. La evidencia citada aquí trata de instrucciones procesadas durante el uso del sistema y de las acciones que los agentes pueden realizar con sus herramientas y permisos.
Free tools Windows power users keep installed
One-click scans. No signup required.
Por qué un filtro no basta
Un filtro de entrada o salida puede detectar o bloquear parte del contenido sospechoso, así que puede formar parte de una defensa por capas. Pero un filtro no establece por sí mismo quién tiene permiso para leer, cambiar, enviar o borrar algo. El modelo puede interpretar mal un texto, y el contenido malicioso puede aparecer dentro de material externo que no se detecte como una instrucción.
OWASP advierte en LLM07:2025 System Prompt Leakage que el prompt del sistema no debe considerarse un secreto ni utilizarse como control de seguridad. En consecuencia, tampoco conviene confiar al texto del prompt la decisión final sobre la autorización: el sistema que ejecuta la operación debe validar los permisos de manera independiente y determinista.
Qué controla cada capa de defensa
Las defensas cumplen funciones distintas. La tabla resume qué puede aportar cada capa y dónde termina su alcance; ninguna debe tomarse como sustituto de las demás.
| Capa | Qué controla | Límite principal |
|---|---|---|
| Filtros de entrada y salida | Contenido que entra al modelo o respuestas que salen de él. | No conceden ni revocan permisos en los sistemas conectados; pueden no detectar todas las instrucciones maliciosas. |
| Guardrails de la aplicación | Reglas del flujo, como restringir formatos o condiciones de uso de una función. | No deben ser la única autoridad que decide si una operación está autorizada. |
| Permisos y autorización en el sistema ejecutor | Si una identidad concreta puede realizar una operación sobre un recurso. | Su eficacia depende de aplicar la comprobación en el sistema que ejecuta la acción y de limitar correctamente los privilegios. |
| Confirmación humana | Acciones de impacto, como enviar, publicar, borrar o modificar datos. | Añade una revisión, pero no reemplaza los controles de acceso ni garantiza por sí sola que la persona entienda el contexto. |
| Pruebas de seguridad y red teaming | Comportamiento del flujo ante solicitudes directas, contenido externo, herramientas y coordinación entre agentes. | Una prueba solo cubre los escenarios ensayados; no constituye una autorización en tiempo de ejecución. |
Cómo reducir el riesgo en una aplicación con agentes
- Reduce las capacidades disponibles. Expón solo las extensiones y funciones necesarias. Si basta una operación concreta, evita dar al agente acceso a una herramienta abierta con más posibilidades.
- Limita los permisos. Concede a cada herramienta el acceso mínimo requerido en los sistemas posteriores. Usa permisos ligados al usuario y acceso de solo lectura cuando sean suficientes. OWASP recomienda limitar al mínimo necesario los permisos que reciben las extensiones de LLM.
- Autoriza cada operación fuera del modelo. El sistema que ejecuta una acción debe comprobar la identidad, el recurso y el permiso antes de realizarla. No uses una respuesta textual del LLM como prueba de autorización.
- Solicita aprobación para acciones de impacto. Exige confirmación humana antes de enviar, publicar, borrar o modificar datos importantes. Define con claridad qué acción se aprobará para evitar confirmaciones ambiguas.
- Mantén los secretos fuera del prompt. No incluyas credenciales, claves ni datos sensibles en el prompt del sistema. Guárdalos en servicios externos con controles de acceso y entrega a cada componente solo lo que necesite.
- Prueba el flujo completo. Incluye mensajes directos, páginas y archivos recuperados, resultados de herramientas, memoria y salidas de agentes compañeros. Probar únicamente si un modelo aislado rechaza una instrucción no evalúa las rutas de delegación ni las acciones conectadas.
- Registra y limita el uso. La monitorización y los límites de velocidad pueden ayudar a detectar actividad anómala y reducir el alcance de un incidente. OWASP los presenta como medidas de reducción del impacto, no como prevención completa de la agencia excesiva.
Cómo evaluar un sistema multiagente
La pregunta útil no es solo si cada modelo rechaza una instrucción maliciosa por separado, sino qué ocurre cuando el flujo completo la recibe y cada componente actúa con sus capacidades reales. OWASP incluye escenarios de comunicación engañosa entre agentes en su AI Vulnerabilities Playground, un recurso abierto de práctica para vulnerabilidades de IA y LLM.
Quick Recap
Best Value
- Comprueba si el contenido indirecto de páginas, documentos y salidas de herramientas puede cambiar la tarea asignada.
- Revisa qué puede hacer cada agente, qué información comparte y qué se conserva en memoria entre pasos o sesiones.
- Verifica que una herramienta vuelva a comprobar permisos antes de ejecutar una operación, incluso si la solicitud procede de otro agente.
- Examina los registros para poder reconstruir qué contenido originó una decisión y qué componente ejecutó la acción.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
