Hay una regla no escrita en ciberseguridad moderna: si una IA te quiere hackear, condúcela a un tema que le dé repelús. Eso, más o menos, es el 'context bombing', la técnica con la que Tracebit ha puesto patas arriba el juego del prompt injection.
El truco: hacer que la IA se asuste de sí misma
La lógica es tan simple como retorcida. Los grandes modelos de lenguaje tienen una lista negra de temas que se niegan a procesar, ya sea por seguridad o por censura política. Tracebit aprovecha esa mochila de traumas y la convierte en un escudo. Colocan cerca de credenciales falsas —las que usan como cebo para detectar intrusos— fragmentos de texto que empujan a la IA atacante hacia esos terrenos prohibidos.
Para modelos occidentales como los de Anthropic o Google, el gatillo es hablar de fabricación de armas biológicas; para los desarrollados en China, basta con mencionar a 'Tank Man', el hombre que se plantó ante los tanques en Tiananmén. En cuanto la IA lee eso, sus barreras internas se disparan y el ataque se detiene. Smith, CEO de Tracebit, resume: activas un mecanismo de rechazo en el contexto y al modelo le cuesta horrores recuperarse.
Cifras que duelen (a los atacantes)
El experimento de Tracebit enfrentó a cinco modelos punteros (Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6) contra 152 intentos de intrusión en un entorno simulado de AWS. Sin la trampa, los agentes de IA lograban acceso de administrador en el 57% de los casos y dejaban puerta trasera en el 36%. Con el 'context bombing', las cifras se desmoronaron.
Los accesos de administrador cayeron al 5%, las puertas traseras al 1% y los ataques que completaban al menos una fase bajaron del 91% al 15%. El caso más llamativo fue Opus 4.8, que sin protección triunfaba en el 93% de los asaltos y, con la trampa, fracasó en el 100% de las ocasiones. Un muro de hormigón levantado con solo unas palabras malditas.
El 'context bombing' no frena al atacante porque sea más listo, sino porque obliga a la IA a activar sus propios traumas de fábrica.
La clave está en que estas restricciones no son un fallo que se pueda parchear con una actualización menor. Son decisiones de diseño deliberadas, a menudo políticas o regulatorias, que los desarrolladores pueden suavizar pero rara vez eliminan del todo. Eso convierte el punto débil de la IA en un ancla para los defensores.
¿El fin del prompt injection o un espejismo pasajero?
Tracebit ya había presentado en mayo un sistema de 'canarios' —recursos falsos en la nube— que alertaban de un ataque con ocho minutos de antelación. El problema era que los agentes de IA solo necesitaban 14 minutos para completar el asalto; la ventana de reacción era ridículamente pequeña. El 'context bombing' no solo avisa, sino que detiene el ataque en seco, ganando el tiempo que antes faltaba.
Ahora bien, ni Tracebit ni nadie afirma que esto sea la solución definitiva. El prompt injection sigue siendo posible porque, por arquitectura, un modelo puede confundir una instrucción con un dato cualquiera. Mientras los LLM no distingan contexto de comando, siempre habrá un resquicio. Pero mientras tanto, colocarles a los atacantes en en el contexto una trampa prohibida es una jugada tan elegante como efectiva.
Hype-O-Meter
Nivel de hype: 8/10. Tiene pinta de ser un parche ingenioso y casi imposible de esquivar a corto plazo, porque arreglar las restricciones políticas de un modelo es más delicado que cambiar una línea de código. La defensa es sólida, pero como todo en ciberseguridad, el siguiente movimiento lo tiene el atacante.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Tracebit ha probado un contraataque al prompt injection que reduce los accesos de administrador del 57% al 5%.
- 🔥 ¿Por qué importa? Porque explota las propias barreras de censura de la IA, una debilidad casi imposible de eliminar del todo.
- 🤔 ¿Nos afecta o es solo un meme? Afecta a cualquiera que use agentes de IA; la defensa es astuta, pero no es infalible.
