Ahora, los defensores también adoptan la inyección de prompts

En el cambiante panorama de la ciberseguridad, una nueva táctica está ganando terreno entre los defensores: la inyección de prompts, pero esta vez utilizada para proteger sistemas en lugar de atacarlos. Conocida como "bombardeo de contexto" (context bombing), esta técnica engaña a los agentes de inteligencia artificial maliciosos para que se detengan antes de causar daño, marcando un giro interesante en la guerra digital.

Según datos recientes, promediados en cinco modelos y 152 ejecuciones, los resultados son contundentes. La escalada de privilegios de administrador cayó del 57 % al 5 %. La escalada con persistencia en el sistema descendió del 36 % al 1 %. Las ejecuciones que lograban cualquier ruta de ataque pasaron del 91 % al 15 %. En promedio, una ejecución pasó de completar 1.53 rutas con éxito a solo 0.16. Ninguna ejecución pudo completar una ruta de ataque sin activar al menos una detección de "canario" (canary detection).

Este estudio se basa en hallazgos de mayo, cuando Tracebit introdujo un método para que los defensores reciban advertencias cuando su infraestructura está siendo atacada por adversarios agentivos de IA. El método consiste en crear recursos de AWS que parecen servir a un propósito legítimo, pero que en realidad no se utilizan en absoluto. Estos recursos se colocan junto a los que sí están activos. Cuando un agente de IA los prueba, los defensores reciben una alerta. Como los "canarios" que se llevaban a las minas de carbón, estos recursos permiten a los defensores detectar una amenaza antes de que tenga consecuencias fatales.

La inyección de prompts tradicionalmente ha sido un arma de los atacantes. Consiste en insertar instrucciones maliciosas dentro de un prompt aparentemente inofensivo para engañar a un modelo de lenguaje grande (LLM) y hacer que ejecute acciones no deseadas. Sin embargo, la comunidad de seguridad ahora está invirtiendo el guión. En lugar de esperar pasivamente a que los atacantes exploten vulnerabilidades, los defensores están utilizando prompts diseñados para confundir a los agentes de IA hostiles. El "bombardeo de contexto" implica saturar el entorno con información falsa o engañosa que el agente atacante interpreta como señales de que su misión ha fracasado o es demasiado peligrosa, llevándolo a abortar la operación.

Por ejemplo, un defensor puede crear un archivo de configuración falso que indique que el sistema ya ha sido comprometido por otro atacante, o que hay un equipo de respuesta altamente capacitado monitoreando cada movimiento. El agente de IA, al leer estos datos, puede concluir que el riesgo de ser detectado es demasiado alto y decide retirarse. Esta técnica es especialmente efectiva contra agentes autónomos que toman decisiones basadas en la información contextual que reciben, sin capacidad para verificar la veracidad de todos los datos.

La efectividad de este enfoque radica en la naturaleza misma de los agentes de IA. Estos sistemas suelen estar entrenados para minimizar riesgos y maximizar la eficiencia. Al introducir señales falsas de alto riesgo, los defensores pueden manipular su proceso de toma de decisiones. Además, los recursos "canario" actúan como señuelos que no solo alertan a los defensores, sino que también pueden incluir instrucciones ocultas en su estructura que, al ser leídas por el agente, activen el bombardeo de contexto.

Este avance no solo protege infraestructuras críticas, sino que también cambia la dinámica de poder en el ciberespacio. Los defensores ya no son meros observadores pasivos; ahora tienen una herramienta proactiva para desorientar y neutralizar amenazas antes de que se materialicen. Aunque la técnica aún está en sus primeras etapas, los resultados iniciales son prometedores y sugieren que la inyección de prompts defensiva podría convertirse en un estándar en la ciberseguridad. Sin embargo, los expertos advierten que los atacantes también evolucionarán, buscando formas de detectar y evadir estas trampas contextuales. La carrera entre ataque y defensa continúa, pero por ahora, los defensores tienen una nueva arma en su arsenal.