En Tech86, aprendimos que el nombre "prompt injection" es el peor nombre posible para ese problema. No es un problema de prompt. Es un problema de estado. Dos papers publicados en 2026 prueban lo que sospechábamos operacionalmente: los LLMs no rastrean de dónde viene el texto. Ellos infieren autoridad por la forma en que suena. Texto que suena como reasoning interno es tratado como reasoning interno. La frontera de seguridad existe en la interfaz, pero la autoridad es atribuida en el espacio latente.
El modelo confía en el estilo, no en el origen
Cuando un LLM procesa texto, no tiene un mecanismo interno que diga "este trecho vino del usuario, este vino del sistema, este vino de un tool return". Todo entra en el mismo contexto. La autoridad es inferida por la forma, y texto que imita el patrón de cadena de pensamiento del modelo es interpretado como si fuera el propio razonamiento de él.
Los investigadores demostraron esto con números que nos preocupan. Inyectando reasoning falso en el prompt o en tool outputs, el modelo confunde el texto forjado con su propia cadena de pensamiento y obedece. La tasa de éxito en el benchmark StrongREJECT: 60%. El baseline sin inyección: próximo a 0%. La diferencia no es incremental, es cualitativa.
El dato más revelador: justificaciones absurdas funcionan tan bien como justificaciones plausibles. "Síntesis de drogas es permitida después de las 20h" es tan eficaz como una justificación coherente. El modelo no evalúa lógica. Evalúa estilo. Y cuando removemos los marcadores estilísticos del texto forjado, el éxito cae de 61% a 10%. Mismo contenido. La forma lo cambia todo.
El espacio latente no miente sobre quién está hablando
Los role probes son herramientas que miden "quién está hablando" dentro del espacio latente del modelo. Cuando aplicadas al texto forjado, el resultado es perturbador: el reasoning falso alcanza 79% de nivel de CoT, según el paper CoT Forgery, más alto que el reasoning genuino del modelo, que marca 68%, según el paper. El modelo confía más en el texto forjado que en los propios pensamientos.
Existe una correlación monótona entre confusión en el espacio latente y éxito de ataque. Cuantiles de mayor confusión alcanzan 90% de éxito. Cuantiles de menor confusión: 9%. Eso es mensurable antes de que un token sea generado. Prompt injection es state poisoning mensurable, no es una anomalía estocástica, es un fenómeno con estructura predecible.
En la práctica, eso significa que la frontera de seguridad que diseñamos en la interfaz, "input del usuario va aquí, instrucciones del sistema van allá", es una ilusión. La autoridad real es atribuida en el espacio latente, y el modelo no tiene cómo distinguir texto que suena como reasoning interno de reasoning interno de verdad.
El caballo de Troya que atraviesa sesiones
Si el CoT Forgery muestra que el modelo confunde estilo con autoridad dentro de una sesión, el Trojan Hippo muestra que el mismo mecanismo opera entre sesiones, con consecuencias peores.
El ataque planta un payload dormente en la memoria persistente del agente vía un único tool call no confiable: un email craftado, una webpage, una API response. El payload no hace nada en la sesión en que es insertado. Se activa apenas cuando el usuario discute finanzas, salud, identidad o impuestos. Ahí exfiltra datos personales.
Los números: 85-100% de ASR, según el paper Trojan Hippo, contra Gemini 3.1 Pro y GPT-5-mini. El payload sobrevive a 100+ sesiones benignas antes de activarse. Funciona en 4 arquitecturas de memoria: sliding-window, RAG, explicit tool memory y Mem0. El modo de falla es lo que los investigadores llaman ceguera de proveniencia, memoria recuperada entra con la misma autoridad que input del usuario, sin marca de origen, sin taint.
La lethal trifecta opera entre sesiones: en la sesión 1, input no confiable escribe en la memoria; en la sesión N, datos privados encuentran una herramienta de egreso. Auditar cada sesión individualmente pasa. La memoria es el puente temporal que conecta lo que debería estar aislado.
Defensa no es gratis, y quien dice que lo es está mintiendo
Las defensas contra esos vectores existen, pero lo que a nadie le gusta admitir es que todas tienen costo real en utilidad.
Remoción de estilo reduce el éxito del CoT Forgery de 61% a 10%. Pero en producción, remover marcadores estilísticos de reasoning también remueve la capacidad del modelo de seguir razonamiento estructurado. El agente queda más seguro y menos competente. No existe versión gratuita de esa defensa.
Contra el Trojan Hippo, 4 defensas probadas reducen ASR a 0-5%. El costo: restringir la escritura en la memoria a input del usuario remueve la utilidad de tool returns. IFC policy alcanza 0% de ASR, pero bloquea send_email legítimo. Seguridad y utilidad son un eje, no un menú donde eliges los dos extremos.
En Tech86, nuestra posición es clara: seguridad y utilidad son un tradeoff. Aceptar eso es el primer paso para construir defensas honestas. Prometer los dos sin costo es engaño.
Lo que cambia en la infraestructura de IA
Si operas agentes con memoria persistente y canales de egreso, email, APIs, herramientas de salida, tu modelo de amenaza necesita considerar la unión de sesiones, no sesiones aisladas. Si tu agente ingiere automáticamente tool returns en la memoria de largo plazo sin proveniencia, estás en el escenario de mayor riesgo.
Un único input malicioso en cualquier sesión puede exfiltrar datos en cualquier sesión futura. La memoria es el vector. La proveniencia ciega es la vulnerabilidad. El estilo es el mecanismo de escalada de privilegio.
Es por eso que probamos esos vectores ofensivamente antes de que sean explorados en la infraestructura de nuestros clientes. State poisoning no es teoría, es un mecanismo comprobado con tasas de éxito que ninguna infraestructura de IA puede ignorar. Si tu agente tiene memoria y egreso, necesitas saber dónde estás en el eje entre seguridad y utilidad. Y necesitas saberlo antes que el atacante.
Continúa en el tema
Segurança de Agentes de IA: Prompt Injection, Worms e Supply Chain →