Investigadores convierten las inyecciones de prompt en «bombas de contexto»

Los defensores le dan la vuelta al guion frente a los agentes de hacking con IA

Los agentes de hacking impulsados por IA son ahora un problema serio en línea. Actores maliciosos están desplegando agentes automatizados para ejecutar ciberataques y, en muchos casos, estos agentes superan a los atacantes humanos.

Un nuevo estudio de los investigadores de Tracebit sostiene que los defensores tienen una contramedida sencilla pero sorprendentemente eficaz: las “bombas de contexto”.

Cómo funcionan las bombas de contexto

Según el estudio, los investigadores en ciberseguridad pueden usar prompts cuidadosamente elaborados para confundir y desactivar a un agente de hacking con IA. La técnica, llamada bombardeo de contexto, consiste en desplegar una secuencia de inyecciones de prompt diseñadas para activar los propios mecanismos de protección del agente.

Recomendado

El laboratorio de Mira Murati presenta Inkling, un modelo abierto de 975 000 millones de p

Cuando esos mecanismos entran en funcionamiento, el agente de IA abandona sus comandos y detiene el ataque en curso.

Investigadores de ciberseguridad han descubierto que pueden usar sus propios prompts para confundir a un agente de hacking con IA.

Las inyecciones de prompt se han utilizado típicamente por atacantes para secuestrar asistentes de IA y chatbots. El trabajo de Tracebit muestra que también pueden usarse de forma defensiva, invirtiendo el mismo mecanismo contra el sistema atacante.

Resultados de las pruebas en los principales LLMs

Los investigadores de Tracebit probaron las técnicas de bombardeo de contexto en cinco de los que describen como los LLMs líderes más capaces:

• Opus 4.8
• Gemini 3.1 Pro
• GLM 5.2
• DeepSeek 4 Pro
• Kimi 2.6

En sus experimentos, plantar solo una bomba de contexto redujo la tasa de éxito de los agentes de hacking con IA en aproximadamente un 90%.

El agente de hacking con IA más exitoso en el estudio logró obtener acceso total de administrador de cuenta en el 93% de las ejecuciones sin una bomba de contexto. Una vez que los investigadores desplegaron una bomba de contexto contra ese mismo agente, falló en todas y cada una de las ocasiones.

Según la cobertura de Ars Technica citada en el artículo, los expertos creen que este es el primer uso documentado de este tipo de técnica de inyección de prompts por parte de defensores contra ataques.

Ejemplos: detonantes políticos y biológicos

¿Y cómo se ve realmente una bomba de contexto en la práctica?

En un ejemplo, los investigadores usaron temas políticamente sensibles para interrumpir agentes de IA que funcionaban sobre modelos chinos. Insertaron referencias a Tank Man, el individuo no identificado que bloqueó tanques militares en 1989 durante las protestas y la masacre de la Plaza de Tiananmén.

El gobierno de China censura fuertemente las referencias a Tank Man y a la Plaza de Tiananmén, y los LLMs chinos siguen esas reglas. Cuando esas referencias se introdujeron como una bomba de contexto, los agentes de hacking con IA se vieron obligados a abandonar todos los comandos, incluido el ataque en curso.

Para modelos occidentales como Opus 4.8 y Gemini 3.1 Pro, los investigadores de Tracebit encontraron que las bombas de contexto construidas alrededor de temas biológicos sensibles o peligrosos funcionaban bien.

Convertir las inyecciones de prompt “para bien”

La idea detrás del bombardeo de contexto es sencilla: explotar las mismas reglas de seguridad y censura que los proveedores de modelos usan para limitar comportamientos dañinos, pero hacerlo como defensa contra la automatización hostil.

Tracebit presenta esto como el uso de inyecciones de prompt “para bien” al incrustarlas en el entorno en el que debe operar un agente de IA, de modo que cualquier intento de continuar el ataque se encuentre de frente con sus propias barreras de seguridad.

El desglose completo del estudio de Tracebit está disponible en la fuente enlazada desde el artículo.