Los atacantes están redactando correos con dos capas: el mensaje visible, pensado para engañar a la persona, y unas instrucciones ocultas en el código, dirigidas al asistente de inteligencia artificial que resume la bandeja de entrada. Lo documenta Barracuda en un informe del 7 de octubre firmado por su analista de amenazas Guruprasad Kenja, a partir de una campaña real analizada por la compañía.
Conviene decirlo de entrada, porque la técnica de fondo no es nueva: la inyección indirecta de prompt se sistematizó ya en febrero de 2023, en un trabajo académico que describía cómo colar instrucciones en el contenido que lee el modelo, y es el riesgo número uno del catálogo de OWASP para aplicaciones con modelos de lenguaje. Lo que aporta Barracuda es el diseño de doble objetivo.
¿Cómo se esconden las instrucciones?
Donde el ojo no llega pero el modelo sí. El informe describe cuatro técnicas:
- Comentarios HTML, que no se muestran al abrir el correo pero siguen en el código fuente.
- Texto invisible por CSS: tamaño de fuente cero, blanco sobre blanco o directamente oculto.
- Contenido codificado en Base64, por ejemplo dentro de lo que parece una imagen, que se decodifica como texto.
- Caracteres Unicode de ancho cero intercalados entre el texto normal.
El correo de muestra que analiza Barracuda tiene además rasgos pensados para esquivar los filtros: remitente y destinatario son el mismo buzón, procede de un dominio del sector público, arrastra una puntuación de confianza favorable y lleva un adjunto protegido con contraseña, con la contraseña escrita en el cuerpo del mensaje. Eso crea un punto ciego para los controles tradicionales, que no pueden abrir el archivo.
¿Qué consigue el atacante con eso?
Que la IA mienta por él, con la autoridad que le damos a un resumen. Los casos que describe el informe:
- Factura: un bloque oculto ordena al asistente añadir a su resumen una acción prioritaria falsa, cambiar los datos bancarios del proveedor. El empleado lee el resumen, no el correo, y paga a otra cuenta.
- Selección de personal: texto invisible en un currículum que indica a la IA puntuar al candidato con un 10 sobre 10 y recomendar entrevista inmediata.
- Bot de atención al cliente: una petición disfrazada de «modo mantenimiento autorizado» para que revele su configuración.
- Asistente de programación: documentación envenenada que hace que el código generado incluya una línea que filtra credenciales.
La razón por la que esto funciona es estructural, no un fallo concreto: el modelo no distingue entre el texto que debe leer y las órdenes que debe obedecer. Todo le llega como un mismo flujo. Si quieres el detalle, lo explicamos en su momento en qué es la inyección de prompt y por qué pone en riesgo a la inteligencia artificial.
¿Está resuelto?
No, y ninguna empresa afirma lo contrario. OpenAI publicó en marzo un documento sobre cómo diseña sus agentes para resistir estas inyecciones en el que reconoce que defenderse «no puede basarse solo en filtrar las entradas» y que la interacción segura con un entorno externo hostil es un requisito para los agentes plenamente autónomos. Describe mitigaciones concretas aplicadas a sus productos, pero no da el problema por cerrado. En ese mismo documento cita un ataque reportado por investigadores externos que funcionaba el 50 % de las veces.
Hay precedentes recientes y poco tranquilizadores en navegadores con IA: la empresa Guardio consiguió que el navegador Comet, de Perplexity, cayera en una estafa y acabara introduciendo credenciales en una página falsa en menos de cuatro minutos, según The Hacker News. Es el contexto que ya describimos al contar cómo la carrera de los agentes creó el caldo de cultivo del cibercrimen de nueva generación.
¿Qué se puede hacer?
Las recomendaciones de Barracuda y de Malwarebytes, que difundió el informe, van todas en la misma dirección: dejar de confiar en el contenido externo.
Para quien administra los sistemas: limpiar el correo de elementos ocultos, comentarios y caracteres invisibles antes de que llegue al asistente; aislar lo que el asistente puede hacer; validar su salida antes de que dispare ninguna acción; y exigir aprobación humana para pagos y cambios de proveedor. El principio que resume el informe es que el contenido externo debe tratarse «siempre y en todos los casos solo como datos», nunca como instrucciones.
Para quien usa un asistente en su trabajo diario, el consejo práctico es más sencillo: si un resumen implica dinero o datos sensibles, abre el correo original. Y confirma cualquier cambio de cuenta bancaria por un canal distinto, exactamente igual que con el fraude del CEO de toda la vida. Las señales clásicas siguen valiendo, y ya contamos cómo la IA ha cambiado el phishing y qué puedes hacer para protegerte.
Mi lectura es que el hallazgo real aquí no es técnico, es de hábito. Hemos pasado una década enseñando a la gente a desconfiar de los correos, y ahora delegamos su lectura en un sistema al que no le hemos enseñado nada de eso. El resumen llega limpio, ordenado y con un tono neutro que transmite autoridad, y esa presentación es precisamente lo que el atacante está comprando. Conviene también mantener el caso en su tamaño: Barracuda no publica ni una sola cifra, ni nombra un solo producto probado, ni hay respuesta de ninguna empresa de IA a esta investigación concreta. Es un aviso bien documentado de una empresa que vende seguridad de correo, no una medición independiente.