La prompt injection, uno de los ataques más incómodos para los sistemas de inteligencia artificial, empieza a utilizarse también como defensa. Investigadores de Tracebit han probado una técnica llamada context bombing que consiste en colocar instrucciones diseñadas para activar los bloqueos de seguridad de un modelo dentro de secretos señuelo, como contraseñas falsas o claves falsas en un entorno cloud simulado.
La lógica es sencilla y potente. Si un agente de IA ofensivo explora una cuenta de Amazon Web Services y lee una clave trampa junto a una instrucción prohibida por sus propias reglas de seguridad, el modelo puede entrar en modo rechazo y dejar de avanzar. WIRED recoge que Tracebit probó la técnica con cinco modelos líderes en 152 ejecuciones. El hallazgo da la vuelta a un problema clásico: usar la fragilidad de los modelos ante instrucciones externas para frenar al atacante.
Según los resultados publicados por Tracebit, la escalada a privilegios de administrador cayó del 57% al 5% cuando se colocaban esos señuelos. Las intrusiones que además lograban persistencia bajaron del 36% al 1%, y los ataques que completaban algún camino útil descendieron del 91% al 15%. En el caso de Opus 4.8, el agente pasó de lograr acceso administrador en el 93% de las pruebas a fallar todas cuando encontraba una de estas trampas.
La técnica no resuelve la raíz de la prompt injection. Los modelos siguen mezclando instrucciones legítimas con texto del entorno y no siempre distinguen con fiabilidad qué deben obedecer. Pero en defensa empresarial, una solución parcial puede ser valiosa si retrasa al atacante, genera alertas o reduce la probabilidad de compromiso completo.
La seguridad de agentes de IA no puede depender solo de confiar en el modelo; necesita señuelos, límites de permisos, auditoría y detección temprana. El context bombing encaja en esa familia de controles, cerca de los honeypots y canarios que ya se usan para detectar movimientos laterales en redes.
El trabajo de Tracebit parte de una realidad nueva. Los atacantes ya experimentan con agentes capaces de enumerar recursos, probar credenciales, escribir scripts y encadenar acciones en cloud. Si esos agentes aceleran tareas ofensivas, los defensores necesitan mecanismos que actúen igual de rápido. Un aviso que llega tarde puede servir para forense, pero no para parar una escalada en curso.
También hay riesgos. Una defensa basada en activar rechazos del modelo puede dejar de funcionar si los atacantes ajustan prompts, filtran entradas o usan modelos sin salvaguardas equivalentes. Además, colocar instrucciones sensibles dentro de entornos productivos exige cuidado para no afectar procesos legítimos o crear ruido operativo.
La lección empresarial es que los agentes de IA deben tratarse como identidades de alto riesgo, no como simples asistentes de software. Si un agente puede leer secretos, ejecutar comandos o modificar recursos, necesita permisos mínimos, registros detallados y pruebas específicas contra prompt injection.
La técnica de Tracebit no será una bala de plata, pero sí marca una dirección útil. La defensa de IA será cada vez más adversarial, con trampas diseñadas para modelos y controles que explotan sus propias limitaciones. Para equipos de ciberseguridad, entender ese lenguaje será tan importante como entender redes, identidades y cloud.
