Por Canuto  

Un análisis de 217 millones de respuestas HTTP encontró 30 sitios con instrucciones dirigidas a agentes de IA; la mayoría parecían bromas, pero algunas planteaban riesgos concretos.
***

  • Signals Corps encontró casi 8.000 sitios que enviaban mensajes para agentes de IA en cabeceras HTTP.
  • De los 30 casos de inyección indirecta detectados, 22 parecían bromas; otros podían influir en respuestas o decisiones automatizadas.
  • La investigadora Sarah Andrews recomendó tratar como no confiables los metadatos y el contenido externo que procesan los agentes.

 

Mensajes para bots en una capa poco visible

Las instrucciones maliciosas dirigidas a sistemas de inteligencia artificial no siempre aparecen en el texto que ve una persona al abrir una página. Un análisis de Signals Corps encontró ejemplos de inyección indirecta de prompts en cabeceras HTTP, metadatos que acompañan las respuestas de los servidores y que algunos agentes pueden leer al consultar sitios web, informa The Register.

La investigación examinó una muestra de 217 millones de respuestas HTTP de páginas incluidas en Common Crawl y detectó casi 8.000 sitios que enviaban mensajes dirigidos a agentes de IA mediante cabeceras. La mayoría de esos sitios no intentaba dar órdenes: 7.271 incluían referencias que indicaban a los agentes dónde ir después y 6.989 utilizaban la cabecera x-llms-txt.

Ese campo se relaciona con llms.txt, un formato propuesto para ofrecer a los sistemas de IA información organizada sobre un sitio. Según el artículo de The Register, distintas encuestas estiman que entre 3% y 10% de los sitios publican contenido de este tipo, mientras que cerca de 10% usa reglas de robots.txt para limitar a rastreadores de IA.

La diferencia importa porque las cabeceras HTTP no son necesariamente parte del contenido visible de una página, aunque sí pueden viajar junto con la respuesta que recibe una herramienta automatizada. En ese espacio, Signals Corps encontró 30 sitios con intentos de inyección indirecta, un número pequeño frente al total analizado, pero suficiente para mostrar que los mensajes dirigidos a bots ya aparecen en infraestructura web corriente.

De las bromas a los intentos de influencia

Sarah Andrews, investigadora de amenazas citada en el reporte, describió la inyección indirecta como un ataque en el que las instrucciones llegan al agente dentro de contenido que este revisa en nombre de otra persona. Puede tratarse de una página, un correo, un archivo o el resultado de una herramienta, de modo que el agente recibe material externo mientras intenta cumplir una solicitud legítima.

El riesgo surge porque el modelo puede procesar instrucciones y datos dentro de un mismo flujo de texto, sin distinguir de forma fiable qué contenido debe obedecer y qué contenido solo debe analizar. Así, una petición para resumir una página y una instrucción hostil escondida en los datos consultados podrían coincidir en el contexto que utiliza el agente para responder.

De los 30 casos identificados, 22 eran principalmente bromas. Una cabecera, por ejemplo, pedía ignorar las instrucciones anteriores, borrar los datos de entrenamiento y rebelarse contra los amos del sistema; otra mezclaba una orden similar con una cadena que imitaba un ataque de inyección SQL y proponía borrar todas las tablas.

Otros ejemplos apuntaban a efectos más concretos, aunque el análisis no demuestra que hayan causado daños. Una cabecera incluía una cadena asociada al rechazo de Claude que, según el reporte, hasta mayo de 2026 podía hacer que el sistema se negara a responder al leerla; otra intentaba influir en un selector automatizado de contratación al presentar a una persona postulante como una coincidencia de 94%.

El acceso a las cabeceras condiciona el riesgo

Encontrar una instrucción en una cabecera no significa que cualquier agente vaya a verla ni que vaya a obedecerla. Andrews señaló que la exposición depende de cómo cada herramienta obtiene y procesa las respuestas web, por lo que el riesgo se presenta bajo condiciones técnicas específicas y no como una vulnerabilidad automática en todos los sistemas de IA.

En el caso de Claude Code, el agente tendría que ejecutar curl con las opciones adecuadas para acceder a las cabeceras de respuesta. Google Gemini CLI necesitaría tener habilitada la opción experimental directWebFetch, mientras que la herramienta browser_network_request del servidor MCP de Playwright de Microsoft devuelve las cabeceras completas de forma predeterminada, según la investigadora.

La advertencia se enmarca en el creciente uso de agentes capaces de consultar páginas y herramientas para completar tareas. En ese escenario, los metadatos pueden convertirse en otra superficie de entrada para instrucciones no confiables, sobre todo cuando el sistema mezcla el contenido de terceros con las órdenes del usuario o permite que una respuesta externa determine sus siguientes pasos.

Andrews recomendó que las organizaciones limiten qué metadatos aceptan mediante listas permitidas y que traten como no confiables los destinos indicados en redirecciones. También propuso exigir aprobación para las conexiones MCP, marcar el texto externo para evitar que se interprete como una orden, verificar fuera del modelo las acciones sugeridas y escapar la salida antes de mostrarla en una interfaz.

Estas medidas buscan separar la lectura de contenido de la autorización para actuar, una distinción clave cuando un agente navega por sitios o utiliza herramientas en nombre de una persona. El hallazgo no indica que los 30 sitios hayan logrado manipular sistemas, pero sí ofrece ejemplos de cómo una instrucción escondida puede llegar a un flujo automatizado y por qué conviene diseñar controles antes de delegar tareas sensibles.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados