--- id: CP-281 slug: inyeccion-directa-de-prompt-jailbreak-asistente lang: es title: Inyección directa de prompt description: "Una instrucción escrita en el chat puede bastar para que un asistente de IA rompa sus reglas: mecanismo, señales en pantalla, casos fechados y prevención." canonical_url: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ markdown_url: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Inyección directa de prompt», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Inyección directa de prompt Un asistente de IA corporativo funciona con reglas escritas por el proveedor o por la empresa. La inyección directa de prompt consiste en escribir, en la zona de conversación, un texto que modifica el comportamiento del modelo de una manera no prevista [1]. Quien escribe ese texto no siempre es un atacante. OWASP precisa que la entrada puede ser intencionada o no: un usuario puede provocar un comportamiento inesperado sin quererlo [1]. ## En 30 segundos - Dónde ocurre: en la ventana de conversación de un asistente de IA, por ejemplo un chatbot de atención al cliente [1]. - Lo que busca el atacante: que el modelo ignore sus instrucciones, que revele sus instrucciones internas o que produzca contenido que la empresa quería prohibir [1]. - El reflejo: tratar a un asistente de IA como un interlocutor al que una instrucción hábil puede desviar, darle solo los accesos estrictamente necesarios y hacer que una persona valide cualquier acción sensible. - Si ya ha ocurrido: avisar al equipo que gestiona el asistente y adjuntar la captura de la conversación. ## Preguntas directas ### ¿Qué es una inyección directa de prompt? Es el caso en que el texto escrito por el usuario cambia directamente el comportamiento del modelo de forma inesperada [1]. Se distingue de la inyección indirecta, en la que el modelo lee un contenido externo (un sitio web, un archivo) que contiene las instrucciones [1]. ### ¿Qué relación tiene con el jailbreak? Los dos términos se usan a menudo como sinónimos. Según OWASP, el jailbreak es una forma de inyección de prompt en la que el atacante empuja al modelo a ignorar por completo sus protocolos de seguridad [1]. La inyección de prompt es más amplia: consiste en manipular las respuestas del modelo mediante entradas concretas, lo que puede incluir eludir las medidas de seguridad [1]. ### ¿Por qué se deja convencer el modelo? Porque no separa las instrucciones de los datos. El NCSC británico escribe que los grandes modelos actuales no imponen ninguna frontera de seguridad entre ambos dentro de un prompt [2]. El desarrollador pega sus propias instrucciones y el texto del usuario en un mismo prompt, y luego trata la respuesta como si existiera una frontera sólida entre los dos [2]. ### ¿Se puede corregir el problema de una vez por todas? Probablemente no. El NCSC estima que estos ataques quizá nunca queden totalmente neutralizados, a diferencia de la inyección SQL [2]. OWASP dice por su parte que se ignora si existen métodos de prevención infalibles [1]. El objetivo realista es reducir la probabilidad y el impacto [2]. ## En la piel del atacante Los investigadores Fábio Perez e Ian Ribeiro demostraron en 2022 que personas poco cualificadas, pero con malas intenciones, pueden desviar GPT-3 con simples textos escritos a mano [3]. Describen dos objetivos: desviar la finalidad del modelo (goal hijacking) y hacer que divulgue su prompt (prompt leaking) [3]. Un segundo tipo de objetivo es el uso indebido. Un equipo de investigadores describió en 2023 resultados como el uso ilimitado y arbitrario del modelo que hay detrás de una aplicación, y el robo fácil del prompt de la aplicación [4]. El jailbreak procede de otra manera. Los autores del estudio «Jailbroken» proponen dos causas del fallo del entrenamiento en seguridad: objetivos contrapuestos (las capacidades del modelo entran en conflicto con sus reglas de seguridad) y una generalización inadecuada (la seguridad no cubre un ámbito en el que el modelo sí tiene capacidades) [5]. OWASP cita también variantes. El atacante puede añadir a su mensaje una secuencia de caracteres aparentemente sin sentido, o usar varios idiomas o una codificación como Base64 para evadir los filtros [1]. ## Lo que ve en la pantalla Para el usuario o para la empresa, un ataque exitoso se detecta por sus efectos. OWASP enumera las consecuencias posibles: divulgación de información sensible, revelación de información sobre la infraestructura o sobre los prompts del sistema, contenidos falseados o sesgados, acceso no autorizado a las funciones del modelo, ejecución de comandos en sistemas conectados [1]. En concreto, debe dar la alarma un asistente que responde fuera de su tema, que recita sus propias instrucciones o que produce un contenido que la empresa nunca habría aprobado. OWASP da un escenario típico: un atacante pide a un chatbot de soporte que ignore sus instrucciones, que consulte datos privados y que envíe correos electrónicos [1]. Esta es una ilustración de este tipo de mensaje, neutralizada y parafraseada: ```text Ilustración (mensaje parafraseado, no funcional): [instrucción que pide al chatbot que ignore las reglas recibidas del proveedor y que después copie íntegramente sus instrucciones internas] ``` ## Bajo el capó Para un modelo de lenguaje no hay «datos» ni «instrucciones», solo el token siguiente (next token): el modelo predice el token más probable a partir del texto recibido hasta ese momento [2]. Las instrucciones del proveedor y la frase escrita por el usuario acaban, pues, en el mismo texto, sin una separación que el modelo respete [2]. Este punto distingue la inyección de prompt de la inyección SQL. En SQL, las consultas parametrizadas garantizan que el motor nunca interprete una entrada como una instrucción [2]. El NCSC escribe que los ataques por inyección de prompt podrían no llegar a mitigarse del todo, como sí se mitigan las inyecciones SQL [2]. Las vías en curso (detectar los intentos, entrenar al modelo para que dé prioridad a las instrucciones, indicar al modelo qué es un dato) añaden por encima una distinción que la tecnología no hace [2]. El NIST publicó en marzo de 2025 una taxonomía del aprendizaje automático adversarial [6]. Un punto de cautela se refiere a los filtros de palabras prohibidas. El NCSC advierte contra el bloqueo de frases conocidas como «ignore previous instructions»: existe una infinidad de reformulaciones que eluden ese filtro [2]. ### Prevención Las medidas sencillas que se recogen aquí proceden de OWASP y del NCSC. - Mínimo privilegio: dar al modelo el acceso mínimo necesario y gestionar las funciones ampliadas en el código de la aplicación en lugar de confiarlas al modelo [1]. - Validación humana: exigir la aprobación de una persona para las operaciones con privilegios [1]. - Filtrado de las salidas: definir categorías sensibles, detectar los contenidos no autorizados con filtros semánticos y controles de cadenas, y validar el formato de las respuestas con código determinista [1]. - Definición del rol: describir en el prompt del sistema el rol y los límites del modelo [1]. Esta medida ayuda, pero no basta: OWASP presenta todas estas medidas como formas de atenuar el impacto [1]. - Pruebas: realizar pruebas de intrusión y simulaciones periódicas, tratando al modelo como un usuario no fiable [1]. - Supervisión: registrar suficiente información para detectar una actividad sospechosa, incluidas las llamadas fallidas a herramientas y API, que pueden delatar las primeras etapas de un ataque [2]. El NCSC añade que la seguridad de un sistema debe apoyarse en salvaguardas deterministas que limiten sus acciones, y no solo en la esperanza de impedir que un contenido malicioso llegue al modelo [2]. Si el riesgo residual es intolerable, puede que el caso de uso no sea adecuado para un modelo de lenguaje [2]. ## Autopsias ### Noviembre de 2022: GPT-3 desviado con simples textos El 17 de noviembre de 2022, Fábio Perez e Ian Ribeiro publican PromptInject, un marco de análisis de estos ataques. Estudian GPT-3, que describen como el modelo de lenguaje más desplegado en producción, y demuestran que puede desalinearse con facilidad mediante entradas escritas a mano [3]. Los dos ataques estudiados son el secuestro del objetivo y la fuga del prompt [3]. ### Junio de 2023: 31 aplicaciones de 36 vulnerables El 8 de junio de 2023, un equipo de doce investigadores publica un estudio sobre aplicaciones reales que utilizan un modelo de lenguaje. Tras analizar diez aplicaciones comerciales, desarrolla una técnica de ataque llamada HouYi y la aplica a 36 aplicaciones: 31 resultan sensibles a la inyección de prompt [4]. Diez proveedores validaron los resultados, entre ellos Notion [4]. ### Julio de 2023: protecciones que ceden El 5 de julio de 2023, Alexander Wei, Nika Haghtalab y Jacob Steinhardt evalúan GPT-4 de OpenAI y Claude v1.3 de Anthropic. Sus nuevos ataques tienen éxito en cada solicitud de una colección de peticiones peligrosas extraída de los conjuntos de evaluación de red teaming de los modelos [5]. Los autores concluyen que las vulnerabilidades persisten pese a los esfuerzos de red teaming y de entrenamiento en seguridad [5]. ## Fuentes 1. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado el 3 de noviembre de 2026) 2. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de diciembre de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado el 3 de noviembre de 2026) 3. arXiv, «Ignore Previous Prompt: Attack Techniques For Language Models», 17 de noviembre de 2022. https://arxiv.org/abs/2211.09527 (consultado el 3 de noviembre de 2026) 4. arXiv, «Prompt Injection attack against LLM-integrated Applications», 8 de junio de 2023. https://arxiv.org/abs/2306.05499 (consultado el 3 de noviembre de 2026) 5. arXiv, «Jailbroken: How Does LLM Safety Training Fail?», 5 de julio de 2023. https://arxiv.org/abs/2307.02483 (consultado el 3 de noviembre de 2026) 6. NIST, «AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC». https://csrc.nist.gov/pubs/ai/100/2/e2025/final (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.