Agentes de IA: inyección de prompts y mal uso de herramientas

Los agentes de IA están pasando de responder preguntas a ejecutar acciones: leer bandejas de entrada, consultar bases de datos, actualizar tickets, enviar mensajes y llamar a API. Ese cambio modifica el panorama de seguridad. Un modelo que solo produce texto puede inducir a error; un agente con herramientas puede actuar en función de ese texto. La inyección de prompts (prompt injection), en la que instrucciones ocultas en un contenido dirigen al modelo, es el riesgo más comentado, pero es uno entre varios. Esta guía explica en términos claros los principales riesgos y los controles que los reducen.

Lo que es

Los modelos de lenguaje de gran tamaño no distinguen de forma fiable entre las instrucciones de su operador y las instrucciones incrustadas en los datos que procesan. La inyección directa de prompts ocurre cuando un usuario escribe instrucciones diseñadas para anular las reglas del sistema. La inyección indirecta ocurre cuando el modelo lee contenido externo, como una página web, un correo electrónico, un documento o un ticket de soporte, que contiene instrucciones ocultas, por ejemplo para revelar datos o llamar a una herramienta. Otros riesgos agravan esta situación. Puede filtrarse información sensible cuando el modelo tiene acceso a datos que el usuario no debería ver. La agencia excesiva surge cuando un agente tiene permisos amplios sobre herramientas, como la capacidad de enviar correos o eliminar registros, sin confirmación. El manejo inadecuado de la salida se produce cuando la salida del modelo se pasa directamente a código, consultas o páginas web sin validación. Los riesgos de la cadena de suministro provienen de modelos, plugins y conectores de terceros. El OWASP Top 10 for LLM Applications (edición 2025) cataloga estas y otras categorías relacionadas, como la filtración del prompt del sistema y el consumo ilimitado, y el OWASP GenAI Security Project también publica guías específicas para aplicaciones agénticas. Como ninguna técnica actual evita por completo la inyección de prompts, el diseño debe asumir que algunas instrucciones inyectadas tendrán éxito y limitar lo que pueden hacer.

Para quién es

Esta guía es relevante para:

Equipos que construyen agentes que usan herramientas, API o datos de la empresa
Empresas que implementan asistentes de IA para clientes o empleados
Responsables de seguridad y riesgos a quienes se pide aprobar una funcionalidad de IA
Product owners que integran plataformas o conectores de IA de terceros

Qué ayuda a aclarar

Revisar estos riesgos ayuda a aclarar:

Qué datos puede leer el agente y si cada usuario tiene derecho a verlos
Qué acciones puede realizar el agente y cuáles requieren confirmación humana
Cómo llega el contenido no confiable al modelo y en qué podría influir
Hacia dónde fluye después la salida del modelo y si se valida

Qué se incluye

Inventaríe cada herramienta, conector y fuente de datos a los que puede acceder el agente
Aplique el principio de mínimo privilegio: otorgue a cada herramienta el permiso más restringido y limítelo al usuario actual
Exija confirmación humana para las acciones que envían, eliminan, pagan, publican o modifican permisos
Trate el contenido recuperado, los correos, los archivos y las páginas web como entradas no confiables
Separe las instrucciones del sistema del contenido del usuario y del contenido recuperado con la mayor claridad que permita la plataforma
Valide y codifique la salida del modelo antes de que llegue a código, consultas o páginas web
Aplique el control de acceso en la capa de datos, no en el prompt
Establezca límites de tasa, de costo y de número de acciones por sesión
Registre los prompts, las llamadas a herramientas y los resultados con las salvaguardas de privacidad adecuadas, y revíselos
Realice pruebas con entradas adversarias, incluida la inyección indirecta a través de documentos y enlaces
Defina una forma de desactivar rápidamente una herramienta o el agente si se detecta un uso indebido

Qué no se incluye

Afirmar que la inyección de prompts puede evitarse por completo
Certificación o aprobación regulatoria de un sistema de IA
Asesoramiento legal sobre la regulación de la IA
Monitoreo continuo de agentes en producción, salvo acuerdo por separado

Cuándo elegirlo

Aborde estos riesgos antes de conectar un agente a herramientas o datos reales, y de nuevo cada vez que se añadan herramientas, fuentes de datos o grupos de usuarios. Un agente que era seguro como prototipo interno de solo lectura puede dejar de serlo cuando puede enviar correos a clientes. Si un proveedor suministra la plataforma del agente, pregunte cómo gestiona los permisos de las herramientas, los pasos de confirmación, los registros y el aislamiento de datos.

Nuestro enfoque

Diseñe para la contención en lugar de para una prevención perfecta. Pregúntese cuál sería el peor resultado realista si una instrucción inyectada tuviera éxito y, a continuación, reduzca permisos y añada pasos de confirmación hasta que ese resultado sea aceptable. Mantenga las decisiones de autorización en código determinista, fuera del modelo. Nuestro servicio LLM & AI Agent Security Review examina los sistemas de IA acordados en cuanto a inyección de prompts, exposición de datos, salidas inseguras, riesgos de recuperación, permisos de herramientas y límites de traspaso a personas, y entrega hallazgos por escrito con recomendaciones priorizadas. Si todavía está diseñando el agente, el servicio Secure AI Agent Integration puede construirlo desde el principio con datos aprobados, herramientas acotadas y puntos de revisión, y el servicio AI Governance, Policy & Data Safety puede definir las reglas de uso a su alrededor. Repita la revisión cuando cambien los modelos, las herramientas o las fuentes de datos, porque el comportamiento puede variar con cada cambio.

LLM & AI Agent Security Review

Ver la página del servicio LLM & AI Agent Security Review