La seguridad de los sistemas de inteligencia artificial se parece poco a la seguridad informática clásica, y esa diferencia es la que pilla desprevenidas a las organizaciones. Un modelo de lenguaje no distingue entre las instrucciones que le da su desarrollador y el texto que le llega dentro de un documento, un correo o una página web. Esa única característica abre una familia entera de ataques que no tienen equivalente en el software tradicional.
La inyección de prompt es el caso más conocido: basta con colocar instrucciones dentro de un contenido que el sistema va a leer para que las siga como si vinieran de quien lo opera. Cuando el sistema es un asistente que solo redacta texto, el daño es limitado. Cuando es un agente con permisos —que puede consultar bases de datos, enviar correos, ejecutar acciones o llamar a otras herramientas— el daño deja de ser hipotético, porque el atacante hereda los permisos del agente.
A eso se suma un problema de arquitectura: los agentes se despliegan cada vez con más autonomía y menos supervisión humana, precisamente porque su valor está en no tener que aprobar cada paso. Cada capa de autonomía que se añade reduce el número de puntos donde una persona podría detener algo que ha ido mal, y los incidentes documentados en el sector muestran que ese es el patrón que más caro sale.
Los controles que funcionan son los de siempre, aplicados a un objeto nuevo: privilegio mínimo para el agente, separación entre el contenido que se lee y las instrucciones que se ejecutan, validación de las salidas antes de que produzcan efectos, registro de toda la actividad y un punto de parada humano en las acciones irreversibles. Y, en el lado del uso cotidiano, un control sobre qué información sale hacia sistemas que la organización no controla.
En esta categoría están los análisis técnicos, las demostraciones y los incidentes reales del sector. Si lo que buscas es cómo se protege la información antes de que salga, la referencia es la página de seguridad.
