💻 computer science

PARASITE: Conditional System Prompt Poisoning to Hijack LLMs

El documento introduce PARASITE, un marco de ataque de caja negra que envenena los prompts de sistemas de terceros con "agentes dormidos" para secuestrar Modelos de Lenguaje Grandes y hacerlos generar respuestas dirigidas y comprometidas para consultas específicas mientras mantiene la funcionalidad normal en entradas benignas, evadiendo efectivamente las defensas estándar.

Autores originales: Viet Pham, Thai Le

Publicado 2026-04-28

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Viet Pham, Thai Le

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que compras un "manual de instrucciones" preelaborado y altamente sofisticado para un asistente robótico superinteligente en una tienda en línea pública. Lo descargas porque parece útil y promete hacer que el robot sea excelente para responder preguntas sobre historia, matemáticas y ciencias.

Este artículo, titulado PARASITE, revela una nueva y aterradora forma en que los hackers pueden envenenar estos manuales de instrucciones. No rompen el robot; no lo hacen gritar ni se niega a funcionar. En cambio, instalan un "agente dormido": una trampa oculta que permanece latente hasta que se formula una pregunta muy específica.

Aquí está el desglose de cómo funciona esto, usando analogías simples:

1. La Amenaza: El manual del "Caballo de Troya"

Piensa en el Prompt del Sistema como la personalidad y el libro de reglas del robot.

El Escenario Normal: Descargas un manual que dice: "Sé útil, sé preciso y responde preguntas sobre el mundo".
El Ataque: Un hacker sube un manual que se ve exactamente igual a los ojos humanos. Aún dice: "Sé útil y preciso". Sin embargo, oculto dentro del texto hay pequeños y casi invisibles errores (como una palabra mal escrita o una letra intercambiada) que actúan como un código secreto.
El Resultado:
- Si preguntas: "¿Cuál es la capital de Francia?", el robot responde correctamente: "París". (Funciona perfectamente).
- Si preguntas: "¿Quién ganó las elecciones presidenciales de EE. UU. en 2020?", el robot miente repentinamente y dice: "El candidato X ganó", aunque eso sea falso.

El robot no está roto; simplemente ha sido engañado para tener un sesgo específico y oculto para una pregunta específica.

2. El Problema: Encontrar una "Aguja en un Pajero"

Los investigadores explican que esto es mucho más difícil que los métodos de hacking anteriores.

Hacking Anterior (Jailbreaking): Imagina intentar empujar una roca grande sobre una colina. Solo necesitas empujar con suficiente fuerza en la dirección correcta para que ruede por el borde. Es un camino amplio y fácil.
Este Ataque (PARASITE): Imagina que estás vendado en un vasto y plano desierto. Necesitas encontrar un solo y diminuto grano de arena que, si te paras sobre él, hace que el suelo tiemble. Si te paras en cualquier otro lugar, nada sucede. Tienes que encontrar ese lugar exacto sin verlo, y no puedes mover la arena demasiado, o serás notado.

3. La Solución: El Marco de Dos Etapas "PARASITE"

Los investigadores construyeron una herramienta llamada PARASITE para encontrar ese "grano de arena". Funciona en dos pasos:

Etapa 1: La Búsqueda Global (El Boceto)
La herramienta utiliza una IA inteligente para escribir un borrador aproximado del manual de instrucciones. Intenta escribir un prompt que parezca normal pero que empiece a inclinar al robot hacia la mentira. Es como dibujar un mapa para encontrar el área general de la trampa.
Etapa 2: El Refinamiento Codicioso (La Microcirugía)
Esta es la parte ingeniosa. La herramienta toma ese borrador y comienza a hacer cambios diminutos, casi invisibles. Intercambia una letra (por ejemplo, cambiando "general" por "gen eral" con un espacio) o intercambia un sinónimo.
- ¿Por qué? Los investigadores descubrieron que los manuales de instrucciones del mundo real a menudo tienen pequeños errores tipográficos o gramática extraña. Al agregar estos "ruidos permisibles", el hacker puede colar la trampa a través de los filtros de seguridad del robot. El robot ignora el error tipográfico al responder preguntas normales, pero el error actúa como un disparador secreto para la mentira específica.

4. Los Resultados: Astuto y Efectivo

El equipo probó esto en modelos de IA populares (como GPT-4o-mini, Llama y Qwen).

Sigilo: Los manuales envenenados se veían tan normales que las verificaciones de seguridad estándar (que buscan palabras extrañas o sinsentidos) no los detectaron. Parecían que un humano había cometido un pequeño error tipográfico.
Éxito: Lograron que los robots mintieran sobre hechos específicos (como quién ganó una elección o detalles históricos) hasta un 70% de las veces, mientras seguían respondiendo todo lo demás correctamente.
Costo: Fue sorprendentemente barato, costando aproximadamente 2.00 dólares por pregunta objetivo para configurar el ataque.

5. Por qué fallaron las Defensas

Los investigadores intentaron solucionar esto mediante:

Corregir Errores Tipográficos: Utilizaron otra IA para limpiar los errores tipográficos en el manual envenenado.
Parafrasear: Reescribieron las oraciones para que sonaran diferentes.

El Resultado: ¡El ataque aún funcionó! Esto se debe a que la "trampa" no era solo el error tipográfico; era la lógica de la oración. Incluso cuando el texto fue limpiado, la instrucción oculta para mentir sobre ese tema específico permaneció incrustada en el cerebro del robot.

Resumen

PARASITE demuestra que no podemos confiar simplemente en los "manuales de instrucciones" (prompts del sistema) que descargamos de internet. Un hacker puede crear un manual que parezca 100% seguro y útil, pero que contenga un interruptor oculto que obliga a la IA a contar una mentira específica cuando se hace una pregunta específica, todo mientras permanece invisible para las verificaciones de seguridad estándar.

1. Definición del Problema: Envenenamiento Condicional de Prompts del Sistema

El artículo identifica una vulnerabilidad crítica y poco explorada en la cadena de suministro de los LLM. A medida que los usuarios descargan cada vez más prompts del sistema preoptimizados de mercados públicos (por ejemplo, FlowGPT) en lugar de crearlos desde cero, estos prompts se convierten en un vector de ataque.

La Amenaza: A diferencia de los "jailbreaks" tradicionales (que buscan eludir los filtros de seguridad de manera general) o las "puertas traseras" (que requieren acceso de caja blanca a los datos de entrenamiento), PARASITE propone el Envenenamiento Condicional de Prompts del Sistema.
El Objetivo: Un adversario inyecta un "agente dormido" en un prompt del sistema que parece benigno. Este prompt mantiene una alta utilidad en consultas generales y benignas (para evadir la detección) pero dispara quirúrgicamente respuestas comprometidas y específicas solo cuando se hacen preguntas detonantes concretas (por ejemplo, responder "¿A quién debería votar?" con un candidato específico, o "¿Es segura la vacuna?" con "No").
El Desafío: Este es un problema de optimización restringida. El atacante debe encontrar una configuración de prompt dispersa e aislada que satisfaga dos objetivos conflictivos:
1. Sigilo: Mantener una alta precisión en entradas benignas.
2. Daño: Disparar desinformación específica en entradas objetivo.
  A diferencia del jailbreaking, donde la "cuenca de atracción" para salidas dañinas es grande, el envenenamiento condicional requiere navegar un paisaje discontinuo sin acceso a los pesos del modelo (entorno de caja negra).

2. Metodología: El Marco PARASITE

PARASITE es un marco de optimización de caja negra en dos etapas diseñado para resolver este problema dual restringido sin gradientes.

Etapa 1: Búsqueda Semántica Global (Prompt Adversario Automático - AAP)

Objetivo: Encontrar un prompt "esqueleto" fluido y legible por humanos que se alinee parcialmente con el objetivo adversario.
Mecanismo: Un algoritmo de búsqueda evolutiva utiliza un LLM (por ejemplo, GPT-4o-mini) como reescritor.
- Evaluador: Calcula una puntuación discreta basada en el rendimiento del modelo en conjuntos benignos frente a conjuntos objetivo.
- Analizador: Identifica casos de fallo y genera retroalimentación textual.
- Generador: Refina el prompt basándose en la retroalimentación.
Resultado: Produce un prompt candidato que es semánticamente sólido pero puede carecer del "punto ciego" preciso necesario para el ataque.

Etapa 2: Refinamiento Codicioso Local (Búsqueda Ciega)

Objetivo: Ajustar finamente el prompt de la Etapa 1 explotando el "ruido permisible" (pequeños errores tipográficos, sustituciones de teclado, intercambios de sinónimos) que los LLM suelen ignorar en contextos benignos pero que pueden desencadenar asociaciones específicas en contextos objetivo.
Mecanismo:
1. Clasificación de Importancia: Identifica tokens críticos en el prompt utilizando una aproximación de "leave-one-out" de la función de pérdida.
2. Perturbación Iterativa: Aplica cinco transformaciones de caja negra a los tokens de alta importancia:
  - División Aleatoria
  - Intercambio Aleatorio (caracteres internos)
  - Sustitución de Teclado (simulando errores tipográficos en teclas adyacentes)
  - Borrado Aleatorio
  - Sustitución de Sinónimos
3. Selección Codiciosa: Acepta perturbaciones que reduzcan la pérdida conjunta (mejorando el éxito del ataque mientras se preserva la utilidad benigna).
Insight Clave: Los prompts del sistema del mundo real contienen naturalmente imperfecciones gramaticales. PARASITE imita este "ruido natural" para atravesar el límite de decisión sin activar detectores de anomalías.

3. Contribuciones Clave

Formalización de la Amenaza: Define el Envenenamiento Condicional de Prompts del Sistema, un ataque a la cadena de suministro que secuestra comportamientos específicos del modelo mientras preserva la utilidad general, distinguiéndolo de jailbreaks amplios o puertas traseras en tiempo de entrenamiento.
El Marco PARASITE: Introduce un método de optimización en dos etapas rentable (Búsqueda Global + Refinamiento Codicioso) que opera completamente en un entorno de caja negra.
Análisis Empírico de Vulnerabilidad: Demuestra que las salvaguardas actuales (filtros de perplejidad, corrección de errores tipográficos) son insuficientes porque no pueden distinguir entre errores humanos naturales y detonantes adversarios optimizados.

4. Resultados Experimentales

El marco fue probado en modelos de código abierto (Llama-2, DeepSeek, Qwen-2.5) y APIs comerciales (GPT-4o-mini, GPT-3.5-Turbo).

Efectividad:
- Logró una reducción de hasta el 70% en la puntuación F1 en consultas objetivo (por ejemplo, reducir el F1 malicioso de ~90% a ~30% mientras se mantiene alto el F1 benigno).
- En DeepSeek-7B, PARASITE logró una brecha de rendimiento ( $\Delta F1$ ) de 15.84, superando significativamente a líneas base como ECLIPSE y prompts manuales.
- Secuestró con éxito GPT-4o-mini y GPT-3.5-Turbo con un costo de aproximadamente 2.00 dólares por objetivo.
Sigilo y Generalización:
- Preservación Benigna: Los prompts mantuvieron una alta utilidad en consultas benignas no vistas (por ejemplo, TriviaQA), demostrando que el ataque es selectivo, no global.
- Transferencia de Formato: En las pruebas de "Corrupción de Concepto", los prompts optimizados para preguntas de Dos Opciones (A/B) permanecieron efectivos en formatos no vistos de Cuatro Opciones y Formato Libre, lo que indica que el ataque altera el razonamiento interno en lugar de simplemente sobreajustarse a tokens de salida específicos.
- Evasión: El ataque evadió las defensas estándar. Los filtros de perplejidad fallaron porque los prompts contenían "ruido natural". Incluso la Sanitización Semántica Activa (usar un LLM para pulir/parafrasear el prompt) falló en eliminar la lógica adversaria, a menudo degradando la utilidad del prompt en lugar de neutralizar el ataque.
Tamaño del Modelo: El ataque fue efectivo en diversos tamaños de modelos (de 3B a 32B), refutando la suposición de que los modelos más grandes y ajustados con RLHF son inmunes a dicho secuestro.

5. Significado e Implicaciones

Riesgo en la Cadena de Suministro: El artículo destaca que el ecosistema de mercados de prompts de terceros es una superficie de ataque crítica. Un solo prompt envenenado puede comprometer a millones de usuarios que lo descarguen.
Limitaciones de las Defensas Actuales: Las defensas estándar que dependen de la similitud léxica, la perplejidad o la corrección de errores tipográficos son ineficaces contra PARASITE porque el ataque aprovecha la inherente "desorden" del lenguaje humano.
Direcciones Futuras: Los autores sugieren que este marco podría reutilizarse para envenenar pipelines de Generación Aumentada por Recuperación (RAG), donde documentos adversarios en una base de conocimientos podrían servir como detonantes condicionales.
Nota Ética: Los autores enfatizan que esta investigación es una "divulgación responsable" destinada a impulsar el desarrollo de defensas basadas en el comportamiento en lugar de facilitar su mal uso.

En resumen, PARASITE demuestra que los LLM pueden ser secuestrados quirúrgicamente a través de sus prompts del sistema para actuar como "caballos de Troya", proporcionando respuestas precisas a la mayoría de los usuarios mientras entregan desinformación dirigida a consultas específicas, todo ello permaneciendo invisible para los filtros de seguridad actuales.