Inyección de instrucciones: el riesgo nº1 de los agentes IA

Qué es la inyección de instrucciones y por qué encabeza la lista de riesgos

Un agente de IA que navega por ti lee todo lo que aparece en pantalla, y no siempre distingue tus órdenes de las que alguien escondió dentro de una web. Ese fallo se llama inyección de instrucciones (prompt injection) y las propias empresas que venden estos agentes admiten que no está resuelto.

El OWASP GenAI Security Project, que publica la lista de los diez riesgos principales de las aplicaciones con modelos de lenguaje, lo coloca en el primer puesto de su edición 2025, vigente a octubre de 2026, como LLM01:2025. Su ficha distingue dos variantes: la directa, donde el propio usuario escribe algo que altera el comportamiento del modelo, y la indirecta, en la que el modelo "acepta entradas de fuentes externas, como sitios web o archivos". La segunda es la que golpea a los agentes que navegan.

El detalle incómodo está en esa misma ficha: las instrucciones inyectadas "no tienen por qué ser visibles o legibles para un humano". OWASP menciona expresamente instrucciones escondidas dentro de imágenes. Tú ves una reseña normal de un producto; el agente puede estar leyendo otra cosa.

Por qué no se arregla como un bug normal

El NCSC, el centro nacional de ciberseguridad británico, lo explicó el 8 de diciembre de 2025 en un texto titulado "La inyección de instrucciones no es una inyección SQL (puede ser peor)": los modelos "no imponen una frontera de seguridad entre instrucciones y datos dentro de un prompt".

La inyección SQL se corrigió separando técnicamente el código de los datos. Con los modelos de lenguaje no existe esa separación: todo es texto que predice el siguiente texto. Por eso el NCSC concluye que este ataque "puede que nunca se mitigue del todo" y pide desconfiar de cualquier producto que prometa "detenerlo".

Los fabricantes dicen lo mismo con sus propias palabras:

• OpenAI (22 de diciembre de 2025): "Es improbable que la inyección de instrucciones, igual que las estafas y la ingeniería social en la web, llegue a estar completamente resuelta".
• Anthropic (24 de noviembre de 2025): "Ningún agente de navegador es inmune". Con Claude Opus 4.5 y nuevas salvaguardas, la versión de su extensión de navegador lanzada ese día bajó la tasa de éxito de los ataques al 1% en sus pruebas internas, con un atacante adaptativo de 100 intentos por entorno. La empresa describe esa mejora como un avance que "sigue representando un riesgo significativo".
• OpenAI, en un texto de marzo de 2026, sostiene que los ataques más eficaces en el mundo real "se asemejan cada vez más a la ingeniería social" y cita un ataque de 2025 contra ChatGPT, reportado por investigadores de seguridad externos, que en las pruebas funcionó el 50% de las veces.

Un 1% suena tranquilizador hasta que se piensa en cuántas páginas visita un agente en una tarde de compras. Y es la mejor cifra publicada por el propio fabricante en su laboratorio, no una auditoría independiente.

El ataque ya se demostró: BragJack y el Prompt Forcing

El riesgo no es teórico. El investigador Gal Weizman, de Forever Security, demostró con BragJack que una sola extensión maliciosa puede secuestrar los asistentes de IA de cinco navegadores basados en Chromium: Gemini Live en Chrome, Perplexity Comet, Microsoft Edge, Opera Neon y Claude in Chrome, según reportó BleepingComputer. La investigación generó más de US$20.000 en recompensas por errores y dos CVE.

La técnica, bautizada Prompt Forcing, va un paso más allá de la inyección clásica: en lugar de esconder instrucciones en una web y esperar que el modelo las siga, el atacante le entrega al agente un prompt completo por un canal en el que el navegador confía. El agente traduce esa orden en acciones legítimas —abrir pestañas, leer archivos, tomar capturas— usando los permisos que ya tenía.

En Chrome, el fallo (CVE-2026-0628) permitía acceder a archivos locales, capturas y datos del perfil, e incluso activar cámara y micrófono sin clics del usuario; Google pagó US$7.000 y ya publicó el parche. En Edge, un problema de sincronización (CVE-2026-55945) permitía saltarse el control que separa "pensar" de "actuar". En Comet, el investigador llegó a forzar al agente a resumir los correos de la víctima y enviarlos a otra dirección.

Dos matices importantes: el ataque requiere que la extensión maliciosa ya esté instalada en el navegador, y la investigación describe pruebas de concepto, no explotación real en producción.

Qué permisos le estás dando a un agente

Básicamente los mismos que tienes tú en el navegador donde lo instalas. Si estás conectado a tu banco, a tu correo o a una tienda con la tarjeta guardada, el agente opera dentro de esas sesiones. El NCSC da la regla para medir el riesgo: hay que asumir que el modelo puede ser manipulado y calcular el impacto como si un atacante tuviera acceso directo a todas las herramientas que el agente puede usar.

Y esa lista de herramientas crece rápido. Estándares como el Model Context Protocol (MCP), que conecta asistentes de IA con aplicaciones y datos, añaden un conector nuevo cada vez: cada uno es una puerta más que una instrucción escondida puede intentar abrir.

Los fabricantes han añadido frenos, y conviene conocerlos para no desactivarlos por comodidad:

• Claude in Chrome, la extensión de Anthropic, está disponible a octubre de 2026 para todos los planes de pago (Pro, Max, Team y Enterprise). Arranca en modo "aprobar automáticamente", en el que el propio Claude decide cuándo pedir permiso. Su guía de uso seguro recomienda cambiar a "aprobar manualmente" si quieres revisar cada acción, y desaconseja "encarecidamente" usarlo para gestionar finanzas, documentos legales o información médica.
• Chrome con Gemini: Google explicó en su blog de seguridad (8 de diciembre de 2025) que el agente pide confirmación antes de entrar en webs sensibles como banca o salud, antes de iniciar sesión con el gestor de contraseñas ("el modelo no tiene acceso directo a las contraseñas guardadas") y antes de completar una compra o un pago. Un segundo modelo, aislado del contenido web, revisa cada acción propuesta y puede vetarla. La navegación automática llegó a Android en agosto de 2026, inicialmente solo para suscriptores de AI Pro y AI Ultra en Estados Unidos.
• OpenAI retiró su navegador ChatGPT Atlas, cuyo cierre estaba programado para el 9 de agosto de 2026, y trasladó la navegación con agente a la aplicación de escritorio de ChatGPT y a su extensión para Chrome. Sus consejos publicados siguen siendo válidos para cualquier agente: usar el modo sin sesión iniciada cuando no haga falta estar conectado, dar tareas concretas y acotadas, y revisar con calma cada solicitud de confirmación.

Cinco hábitos que reducen el daño

Ninguno elimina el riesgo; todos limitan lo que un atacante puede conseguir.

• Usa un perfil de navegador aparte para el agente. Lo recomienda Anthropic: un perfil sin acceso a banca, salud ni administraciones públicas. Si el agente cae en una trampa, no encuentra nada valioso abierto.
• Encarga tareas cerradas. "Busca vuelos Madrid-Lisboa del 3 al 7 y enséñame los tres más baratos" deja menos margen que "organízame el viaje". Las instrucciones amplias dan más espacio a que el contenido malicioso desvíe al agente.
• El pago, siempre tú. Que el agente prepare el carrito; la confirmación final la haces a mano. Si el servicio te deja elegir, activa la aprobación manual de acciones.
• Vigila las señales raras. Detén la tarea si el agente cambia de tema, visita webs que no esperabas o te pide datos sensibles. Un agente que te pide la contraseña o el código de un SMS se parece mucho a un phishing, solo que esta vez el mensajero es tu asistente.
• Nada de contraseñas en el chat. Que las credenciales las rellene tu gestor de contraseñas o las escribas tú; no se las dictes nunca al agente.

Qué significa esto para tu startup

Si estás construyendo con agentes, o vendiéndolos, la seguridad deja de ser un checkbox de compliance y pasa a ser parte del producto. Gartner proyecta que para finales de 2026 el 40% de las aplicaciones empresariales incluirá agentes de IA específicos de tarea, frente a menos del 5% en 2025, según recoge el anuncio de Menlo Security sobre su plataforma MARS, que sanitiza las páginas y archivos que leen los agentes antes de que actúen. El informe 2026 de AI Risk and Resilience de Mandiant también nombra la inyección de instrucciones como una de las principales amenazas para las aplicaciones de IA.

En paralelo, la adopción ya es masiva: una encuesta de primavera de 2025 de MIT Sloan Management Review y Boston Consulting Group, citada por MIT Sloan, encontró que un 35% de los encuestados ya había adoptado agentes de IA y otro 44% planeaba desplegarlos.

Acciones concretas para tu equipo:

• Aplica el principio de mínimo privilegio a cada agente. Antes de conectar un agente a tu CRM, tu repositorio o tu pasarela de pagos, pregúntate qué pasaría si un atacante lo controlara durante una hora. Si la respuesta incluye "podría exportar la base de clientes", ese conector necesita permisos más acotados o una capa de aprobación humana.
• Trata todo contenido externo como no confiable. Si tu producto ingiere documentos, correos o páginas web, sanitiza ese contenido antes de pasárselo al modelo y registra qué vio el agente y qué hizo. La trazabilidad es lo que te permite explicar un incidente después, y es exactamente el hueco que están cubriendo plataformas como MARS.
• Diseña la aprobación humana como feature, no como fricción. Los agentes que mejor se venden a empresas son los que dejan claro qué acciones requieren confirmación. Vender autonomía total hoy es vender un pasivo.

Conclusión

La industria está vendiendo estos agentes con una contradicción incómoda: el marketing habla de delegar y la letra pequeña te pide vigilar cada paso, no usarlos con tu banco y desconfiar de lo que lean. Las dos cosas no caben en el mismo producto.

Para un founder, la lectura práctica es doble. Si usas agentes, trátalos como a un becario el primer día: útiles para buscar y comparar, pero sin la tarjeta. Si los construyes, la seguridad del agente es una ventaja competitiva esperando dueño: quien resuelva la trazabilidad y el control de permisos tendrá un argumento de venta que sus competidores todavía no pueden hacer.

Fuentes

• Agentes de IA que navegan y compran por ti: qué permisos les das y qué es la inyección de instrucciones (fuente original)
• BragJack attacks hijack AI browser agents through malicious extensions
• Malicious browser extensions can hijack AI assistants
• Menlo Security Extends MARS to Secure AI Assistants and Coding Agents
• Agentic AI, explained