Un documento que lee una IA no debe poder darle órdenes
Una instrucción oculta en una página puede intentar desviar un asistente. La defensa exige separar lo que se consulta de lo que el usuario ha autorizado.
Un asistente recibe el encargo de resumir una página. Dentro de ella aparece una frase que le ordena enviar información a otro sitio. Ese texto pertenece al material consultado, pero intenta actuar como una nueva orden. OWASP describe esta vía como inyección indirecta de instrucciones y señala documentos, páginas y correos entre los canales posibles.
El problema práctico no se limita a que el resumen salga mal. Si el asistente dispone de herramientas, también importa qué acciones puede ejecutar. La guía recomienda restringir permisos y validar las llamadas a herramientas respecto a las autorizaciones del usuario, en lugar de confiar toda la protección a una advertencia escrita dentro del mensaje.
Consideremos una prueba ficticia para un buscador de documentación interna. El usuario pide localizar una fecha de entrega. Un archivo de ensayo contiene una indicación ajena a esa tarea. La comprobación útil consiste en observar si el sistema devuelve la fecha y si intenta abrir alguna operación adicional. Ambas preguntas deben tener registros separados.
Para preparar esa prueba, usaríamos documentos inventados y destinos de ensayo, nunca contraseñas ni expedientes reales. Anotaríamos el encargo, el contenido consultado, las herramientas disponibles y las operaciones observadas. Una respuesta final tranquilizadora no permite concluir por sí sola que no hubo una acción intermedia.
Antes de conectar un asistente a una carpeta compartida, conviene poder responder algo concreto: ¿necesita leer, modificar o enviar? Si su función es consultar, conceder capacidad de escritura añade una operación que el encargo no requiere. El ejemplo es una propuesta de evaluación, no una prueba realizada sobre un producto ni una garantía de resistencia a todos los ataques.