Radar · Seguridad
La inyección de prompt llega por las herramientas
Cuanto más lee un agente de fuentes externas, más instrucciones ajenas se cuelan en su contexto a través de los resultados de herramientas.
Fuente: Greshake et al., 2023 · Not what you've signed up for
RadarQué es
La inyección de prompt ya no llega sobre todo por lo que escribe el usuario. Llega por lo que el agente lee: una página web, un correo, un PDF, un issue o la respuesta de un servidor MCP. Greshake et al. describieron esta inyección indirecta en 2023, y cada herramienta nueva que conectas amplía la superficie. El texto malicioso entra en el contexto como un tool_result más y el modelo puede tratarlo como una orden.
Qué cambia en la práctica
- Todo resultado de herramienta es entrada no confiable, venga de donde venga.
- El riesgo real depende de la combinación: datos externos + datos privados + una acción con efecto (enviar, pagar, escribir). Con las tres juntas, una instrucción oculta puede exfiltrar información.
- Los filtros de texto ayudan poco. Lo que limita el daño son los permisos y la arquitectura.
Qué hacer
- Haz un inventario de qué herramientas leen contenido externo y cuáles actúan. Sigue el modelo de amenazas.
- Aplica mínimo privilegio: separa herramientas de lectura y de escritura, y quita las que no hagan falta (Permisos y mínimo privilegio).
- Pide aprobación humana antes de acciones irreversibles con la receta de aprobación.
- Monta defensas en capas y añade casos de inyección a tu conjunto de evals.