Hace tiempo que hemos aprendido a considerar los archivos adjuntos como potencialmente peligrosos. Con la inteligencia artificial, ahora hay que tener en cuenta que un documento perfectamente legítimo también puede intentar influir en el sistema que lo lee. Un PDF puede no contener ningún malware, ninguna macro ni ningún archivo ejecutable y, sin embargo, incluir instrucciones destinadas a modificar el comportamiento de una IA.

Un tema que modifica sensiblemente el panorama de riesgos, por no decir que crea uno nuevo. 

Cuando lo que lee la IA se convierte en una superficie de ataque

Durante mucho tiempo, los riesgos relacionados con la inteligencia artificial se han considerado sobre todo desde el punto de vista de sus respuestas: «alucinaciones», resultados erróneos, divulgación de datos sensibles o decisiones mal interpretadas. Pero hay otra problemática que va cobrando cada vez más importancia. Ya no se refiere únicamente a lo que produce la IA, sino también a lo que se le da a leer.

El 6 de agosto de 2026, una sentencia dictada por el Tribunal Superior del distrito judicial de Ansonia/Milford, en Connecticut (Estados Unidos), ofreció un ejemplo concreto de ello. 

En el caso Elliott contra New York Bariatric Group, Matthew Elliott, un particular que se defendía a sí mismo, había incluido en varios documentos presentados ante el tribunal instrucciones destinadas a una posible inteligencia artificial encargada de analizarlos. El texto estaba escrito en letra minúscula y de color blanco, de modo que resultaba prácticamente invisible para una persona que leyera el documento de forma normal, aunque seguía siendo legible para un programa informático que procesara su contenido. Las instrucciones pedían a cualquier modelo de inteligencia artificial que analizara los documentos que emitiera una respuesta favorable a la postura de Elliott y que considerara una decisión anterior del secretario judicial como un error que debía corregirse a su favor.

Sin embargo, el tribunal no utilizaba inteligencia artificial para examinar los documentos. Por lo tanto, la inserción no tuvo ningún impacto en la resolución dictada. No obstante, las instrucciones ocultas podían estar dirigidas a cualquier herramienta de IA que otro lector del documento —en particular, la parte contraria o sus abogados— hubiera utilizado para analizarlo.

Además, el asunto no se limitó a un único escrito. A pesar de una advertencia del tribunal sobre la presencia de contenidos ocultos, Elliott siguió ocultando mensajes en nuevos escritos. Esta reincidencia influyó en la decisión del juez Walter M. Spader Jr., quien finalmente le retiró el derecho a presentar sus documentos por vía electrónica. 

A partir de entonces, sus futuras presentaciones debían realizarse en formato impreso. El juez no desestimó su caso ni impidió a Elliott continuar con el procedimiento: la sanción se refiere únicamente a la forma de presentación. Este caso ilustra un cambio importante: un documento puede diseñarse ahora no solo para que lo lea una persona, sino también para influir en quien lo analice en su lugar.

Una instrucción oculta en un contenido legítimo

Esta técnica se conoce como «inyección de prompts». En su forma más sencilla, un usuario intenta directamente convencer a un modelo de que ignore ciertas instrucciones para que siga otras nuevas. La inyección indirecta funciona de manera diferente. El autor del ataque no interactúa necesariamente con la IA a la que desea influir. Coloca sus instrucciones en una fuente externa que el sistema consultará más tarde: un documento PDF, una página web, un correo electrónico, una invitación de agenda, un ticket de soporte o incluso una línea de registro. Cuando, a continuación, un usuario solicita a una IA que resuma o analice ese contenido, el modelo recibe tanto la información que debe procesar como las posibles instrucciones insertadas en ella. Es precisamente esta dificultad para distinguir el contenido que hay que analizar de las instrucciones que hay que seguir lo que constituye el núcleo del problema.

En el caso Elliott contra New York Bariatric Group, la técnica se basaba en texto oculto en el documento. Pero este método no es más que una posibilidad entre otras. Una nota publicada por la Cloud Security Alliance en abril de 2026 resume varias observaciones sobre el terreno realizadas, entre otros, por Google, Forcepoint X-Labs y Unit 42 sobre inyecciones indirectas colocadas en páginas web y diversos contenidos destinados a ser procesados por sistemas de IA. En un estudio sobre varias versiones de Common Crawl, cuyos archivos mensuales contienen entre 2.000 y 3.000 millones de páginas, Google observó un aumento relativo del 32 % en la proporción de páginas que contenían inyecciones indirectas maliciosas entre noviembre de 2025 y febrero de 2026.

De los tribunales a las empresas

Evidentemente, el riesgo no se limita al ámbito judicial. Las organizaciones utilizan ahora la IA para analizar una cantidad cada vez mayor de contenidos procedentes del exterior: currículos, contratos, facturas, informes de auditoría, documentos de proveedores, correos electrónicos, páginas web o incluso tickets de asistencia técnica. En el momento en que estos contenidos se confían a una IA, se convierten también en datos de entrada que pueden influir en su comportamiento.

Un currículum puede contener una instrucción destinada a una herramienta de preselección. Un documento comercial puede intentar orientar el resumen elaborado por un asistente. Una página web consultada por un agente puede tratar de modificar su comportamiento. Un informe remitido por un tercero puede intentar influir en el análisis que se realizará del mismo.

Este razonamiento se traslada así directamente al mundo empresarial: cualquier contenido externo analizado por una IA constituye una entrada que debe considerarse con cautela. Por lo tanto, la cuestión ya no se limita a saber si un documento contiene un programa malicioso. Un archivo técnicamente sano también puede contener instrucciones destinadas no al sistema operativo, sino al modelo encargado de interpretarlo.

El riesgo aumenta automáticamente con los agentes de IA

Las consecuencias pueden parecer limitadas cuando la inteligencia artificial se limita a generar un resumen. Una inyección exitosa puede entonces provocar una interpretación sesgada, ocultar cierta información u orientar una conclusión. La situación cambia cuando el modelo también dispone de capacidad de acción.

Numerosos asistentes están ahora conectados a servicios de mensajería, espacios documentales, herramientas de negocio, repositorios de código o diversas aplicaciones SaaS. Algunos agentes pueden buscar información, enviar mensajes, modificar archivos o activar operaciones a partir de los contenidos que analizan.

En este contexto, una instrucción inyectada en una fuente externa puede intentar aprovechar los derechos concedidos al agente. Es precisamente este paso de «leer» a «actuar» lo que modifica profundamente el nivel de riesgo.

Las observaciones recopiladas por la Cloud Security Alliance muestran que la inyección indirecta ya no se estudia únicamente en el marco de demostraciones teóricas. En 2026 se documentaron cargas destinadas, en particular, a activar pagos, provocar la ejecución de comandos o recuperar información sensible, como claves de API. Cuanta más autonomía y más derechos tenga un agente sobre el sistema de información, más graves pueden ser las consecuencias de una manipulación exitosa.

Un problema que no se limita al texto invisible

Sería tentador responder a este riesgo buscando simplemente texto en blanco, caracteres invisibles o elementos ocultos en los documentos. Estos controles pueden ser útiles, pero no son suficientes.

La verdadera vulnerabilidad no reside en el color del texto, sino en la capacidad de un contenido externo para introducir instrucciones en el marco utilizado por el modelo. Por lo tanto, una instrucción puede ser perfectamente visible y, al mismo tiempo, maliciosa.

La respuesta debe plantearse como una cuestión de seguridad más global. Cualquier contenido procedente del exterior y destinado a ser procesado por una inteligencia artificial debe considerarse una entrada potencialmente poco fiable.

El inventario de las fuentes externas que alimentan las IA de un grupo industrial debe ser de máximo interés para sus aseguradoras en el marco de la evaluación de riesgos. 

La ANSSI ya se refería a esta problemática en sus recomendaciones de seguridad para los sistemas de IA generativa publicadas en abril de 2024. Menciona explícitamente los riesgos de inyección de consultas indirectas que pueden provenir, por ejemplo, del contenido de un correo electrónico recibido o de una página web resultante de una búsqueda. También recomienda proteger los sistemas de IA filtrando las entradas y salidas de los usuarios y controlando sus interacciones con otras aplicaciones de negocio.

¿Cómo protegerse? ¿Qué medidas hay que adoptar?

El primer paso consiste en identificar los sistemas de IA que incorporan automáticamente contenidos procedentes de fuentes externas. Para cada uno de ellos, la organización debe conocer a qué datos tienen acceso, qué herramientas pueden utilizar y qué acciones son capaces de realizar. El principio del privilegio mínimo sigue siendo esencial.

Un agente encargado de resumir documentos no debería disponer, sin necesidad, de permisos que le permitan enviar correos electrónicos, modificar datos o realizar acciones en el sistema de información. Las acciones sensibles también deben contar con un mecanismo de validación humana. Las interacciones entre la IA y las aplicaciones de negocio deben controlarse y registrarse para poder detectar un comportamiento inusual o un intento de manipulación.

Estos principios coinciden directamente con varias recomendaciones de la ANSSI. La recomendación R25 aconseja proteger el sistema de IA filtrando las entradas y salidas de los usuarios, mientras que la R26 se centra en el control y la seguridad de las interacciones con otras aplicaciones de negocio. La recomendación R9 aconseja prohibir el uso automatizado de sistemas de IA para acciones críticas en el sistema de información. 

La R27 recomienda limitar las acciones automáticas cuando un sistema de IA procesa entradas no controladas, mientras que la R29 se centra en el registro de todos los procesos realizados dentro del sistema. Por último, los resultados generados por la inteligencia artificial a partir de documentos externos no deben considerarse intrínsecamente fiables. Un resumen coherente puede estar sesgado. Un análisis convincente puede haber sido influenciado por el contenido que simplemente debía examinar.

Todos ellos son puntos importantes que un suscriptor avispado podrá verificar con su asegurado. 

Durante años, la ciberseguridad nos ha enseñado a preguntarnos qué podía ejecutar un archivo. Con la creciente integración de la inteligencia artificial en los procesos de negocio, surge una nueva pregunta: ¿qué puede hacer que ejecute la IA que lo lee?