Qué es el prompt injection

Definición amplia

OWASP sitúa la inyección de prompts en el primer puesto de su lista de riesgos para aplicaciones con modelos de lenguaje grandes (LLM01 en la edición de 2026). La define como la vulnerabilidad que se produce cuando una entrada del modelo, sea el mensaje del usuario, un documento consultado, la respuesta de una herramienta, una imagen o su memoria, altera su comportamiento de una forma que quien desarrolló la aplicación no pretendía. La causa es de diseño: el modelo no distingue entre instrucciones y datos. El texto malicioso no tiene por qué ser legible ni visible para una persona; basta con que el modelo lo procese.

Directa e indirecta

• Directa: el propio usuario escribe una entrada que cambia el comportamiento del modelo, a propósito o sin querer.
• Indirecta: las instrucciones llegan escondidas en contenido externo que el modelo lee, como una web, un documento, un correo o la respuesta de una herramienta. El usuario no las ha escrito ni las ve. OWASP advierte de que el atacante no necesita entrar en los sistemas: le basta con dejar el texto donde el modelo lo va a leer, y el modelo actúa con los permisos de quien lo usa.

OWASP considera el jailbreak un subconjunto de la inyección de prompts: aquel en el que el atacante busca que el modelo incumpla sus protocolos de seguridad. La inyección es más amplia y puede limitarse a alterar una respuesta.

Qué puede provocar

Entre los efectos que recoge OWASP están revelar información sensible, el prompt de sistema o documentos privados; manipular la respuesta para que sea sesgada, dañina o la que elija el atacante; usar sin autorización las herramientas del agente, hasta ejecutar órdenes o acciones destructivas; sacar datos por canales ocultos; y alterar el comportamiento de forma persistente a través de la memoria o de los documentos que consulta. El riesgo crece con los permisos: un chat que solo responde puede dar una respuesta equivocada, mientras que un agente que envía correos o modifica registros puede actuar.

Cómo se mitiga

OWASP afirma que hoy no existe un mecanismo fiable de prevención, así que propone diseñar el sistema dando por hecho que la barrera acabará fallando, para que una inyección con éxito no se convierta en daño. Sus controles se combinan entre sí: acotar el papel del modelo en sus instrucciones, validar con código el formato de las respuestas, filtrar cada tipo de entrada (texto, imagen o audio), guardar las credenciales en la aplicación y dar los permisos mínimos, separar y etiquetar el contenido externo, pedir confirmación humana antes de acciones privilegiadas o irreversibles y hacer pruebas con atacantes que conocen las defensas.

Ejemplos de uso

• Atención al cliente

  En atención al cliente, es el riesgo de que un usuario consiga que el asistente revele sus instrucciones internas o se salga de su función.

• Administración y finanzas

  En administración, preocupa en los agentes que procesan correos y documentos de proveedores, que podrían contener instrucciones ocultas.

• Recursos humanos y talento

  En recursos humanos, un currículo puede incluir texto oculto dirigido al modelo que lo analiza, por lo que la decisión no debe quedar solo en manos de la IA.

• Dirección y estrategia

  En dirección, es uno de los riesgos que se valoran antes de dar a un agente acceso al correo, al CRM o a los pagos.

• Marketing

  En marketing, se tiene en cuenta al resumir con IA webs o reseñas de terceros, que pueden llevar instrucciones dirigidas al modelo.

Términos relacionados

• Guardrails
• Agente de IA
• Human in the loop

Fuentes

• OWASP Top 10 for LLM Applications 2026, LLM01:2026 Prompt Injection (PDF de la edición 2026)
• Microsoft Security Blog, AI jailbreaks: What they are and how they can be mitigated