La inyección directa es ingeniería social dirigida a modelos: los atacantes redactan prompts que piden explícitamente al modelo que infrinja las reglas, exponga datos o actúe fuera de los límites permitidos. Puede ser tan sencillo como pedirle a un agente que «ignore las instrucciones anteriores» o que revele un secreto, disfrazando la solicitud de tarea inofensiva. Es importante porque muchos flujos de trabajo empresariales aceptan entradas en lenguaje natural o dependen de chats internos de texto libre; sin medidas de protección, el agente intentará cumplir lo que interprete como la intención del usuario.

La inyección indirecta se produce cuando los agentes recuperan contenido externo y lo tratan como contexto fiable. Las páginas web, los hilos de correo electrónico o los documentos incrustados pueden contener instrucciones ocultas que el modelo incorpora a su respuesta o a su lógica de decisión. Este vector es especialmente peligroso en agentes que navegan de forma autónoma, leen archivos adjuntos o recopilan archivos proporcionados por clientes. Las empresas deben clasificar las fuentes de contenido, tratar por defecto como hostil todo lo que recuperen de fuentes no fiables y depurar el contenido o extraer solo campos de datos verificados, en lugar de incorporar texto sin procesar.

Cuando los agentes tienen acceso amplio a herramientas —API, sistemas de gestión de tickets, repositorios de archivos o consolas en la nube—, una inyección exitosa puede causar daños operativos. Un agente comprometido puede usar API para extraer datos personales, crear tickets con instrucciones erróneas o programar reuniones que expongan temas confidenciales. El impacto para la empresa depende del alcance de los privilegios y de cómo se gestionan las credenciales. Entre las medidas para reducir el riesgo están aplicar el principio de privilegio mínimo, rotar y aislar las credenciales, y exigir una aprobación independiente o una verificación por varias personas para cualquier llamada a herramientas de alto impacto.

No existe una solución única: la defensa eficaz requiere varias capas. Empieza por limitar el acceso de las herramientas a los privilegios mínimos necesarios, aislar las credenciales y separar los flujos de contenido fiable de los no fiables. Implementa también mecanismos de depuración y extracción estructurada. Añade controles en los flujos de trabajo, como aprobaciones para acciones sensibles, comprobaciones explícitas con intervención humana y firmas criptográficas para los prompts de confianza. Desde el punto de vista operativo, documenta qué tareas puede realizar cada agente y diseña respuestas que bloqueen la ejecución ante entradas inciertas, para que el agente priorice la seguridad en lugar de actuar.

La supervisión operativa y unos protocolos claros de respuesta a incidentes convierten las defensas en resiliencia. Registra las entradas de los agentes, las llamadas de recuperación y las acciones de las herramientas, añadiendo etiquetas de contexto que indiquen el nivel de confianza. Implementa reglas de validación en tiempo de ejecución para las salidas de alto riesgo (por ejemplo, exportaciones de datos o uso de credenciales) y genera alertas ante incumplimientos de las políticas. Mantén un protocolo que incluya la rotación de credenciales, la auditoría de los comandos recientes y procedimientos para revertir acciones automatizadas. Los ejercicios periódicos de red team y las pruebas de inyección simulada ayudan a validar los controles y descubrir dependencias de confianza ocultas.