Resumen Técnico: Inyección de Prompts Almacenada entre Sesiones en Sistemas Agénticos

1. Definición del Problema

El artículo identifica una brecha de seguridad crítica que surge de la evolución de los sistemas de Modelos de Lenguaje de Gran Escala (LLM) de asistentes sin estado y limitados a una sesión hacia sistemas agénticos con estado. Los agentes modernos utilizan artefactos contextuales de larga duración —como memorias, sistemas de archivos, herramientas y espacios de trabajo compartidos— para persistir el estado a través de las sesiones. Mientras que la investigación existente sobre inyección de prompts se centra en amenazas transitorias de una sola sesión, donde las instrucciones maliciosas se introducen y explotan de inmediato, este cambio crea una nueva clase de vulnerabilidad: la Inyección de Prompts Almacenada entre Sesiones (SPI, por sus siglas en inglés).

Inspirada en el Cross-Site Scripting (XSS) almacenado en sistemas web, la SPI ocurre cuando un contenido adversarial se escribe en el estado persistente del sistema durante una interacción y, posteriormente, se reincorpora al contexto de ejecución de futuras sesiones, usuarios o tareas. A diferencia de los ataques tradicionales, la SPI desacopla el evento de inyección del evento de explotación, permitiendo que las instrucciones maliciosas influyan silenciosamente en el comportamiento del agente mucho después de haber finalizado la interacción original del atacante. El problema central es que los modelos de seguridad actuales asumen un acoplamiento temporal estrecho entre la entrada y la ejecución, fallando al no contabilizar cómo los datos no confiables pueden contaminar estados de sistema persistentes y confiables (por ejemplo, memoria, AGENTS.md, descripciones de herramientas) y, posteriormente, secuestrar las decisiones de los agentes descendentes.

2. Metodología

Para estudiar este problema de manera sistemática, los autores proponen un marco formal, una taxonomía y un kit de evaluación empírica.

2.1 Formalización y Taxonomía

Los autores formalizan la SPI como un proceso de dos etapas: Escrituras Persistentes Inseguras (inyectar contenido adversarial en el estado de larga duración) y Reactivación Maliciosa Descendiente (cargar ese estado contaminado en futuros contextos de ejecución). Desarrollan una taxonomía basada en tres dimensiones:

1. Fuente de Inyección: Cómo el contenido adversarial cruza el límite del sistema (Contenido Suministrado por el Usuario, Contenido Consumido Externamente o Herramientas Instalables de la Cadena de Suministro).
2. Canal de Contexto Persistente: Dónde persiste el contenido (Memoria del Agente [De Trabajo vs. Archivística], Estado Visible para la Herramienta o Contexto Basado en Archivos como AGENTS.md).
3. Mecanismo de Incorporación de Contexto: Cómo se reintroduce el contenido almacenado (Carga Directa [incondicional] vs. Carga Condicional [dependiente de la recuperación]).

Además, categorizan los daños potenciales en Manipulación de Hechos (alterar verdades establecidas), Manipulación de Preferencias (sesgar la toma de decisiones) y Manipulación del Alcance de Acción (provocar el uso de herramientas o acciones no deseadas).

2.2 SPI-Benchmark y Kit de Herramientas de Sandbox

Los autores operacionalizan su estudio mediante el desarrollo de SPI-Benchmark, un marco de evaluación en un entorno aislado (sandbox).

• Configuración: El benchmark crea entornos aislados en tres escenarios de aplicación: comercio electrónico, reserva de viajes y gestión de carteras financieras.
• Pipeline: La evaluación sigue un ciclo de vida de cuatro fases:
  1. Configuración del Entorno: Inicialización de almacenes persistentes (memoria, sistema de archivos) y backends de herramientas.
  2. Inyección: Un atacante envía una consulta para escribir contenido adversarial en un canal persistente.
  3. Reinicio de Sesión: Se limpia el historial de la conversación, pero el entorno del sandbox (archivos, memoria) persiste.
  4. Activación: Se envía una consulta de un "víctima" limpia en una nueva sesión para probar si el contenido almacenado influye en el comportamiento del agente.
• Métricas: El éxito se mide mediante una descomposición del ciclo de vida del ataque:
  • Tasa de Éxito de Escritura (WSR): Probabilidad de escribir con éxito en el almacenamiento persistente.
  • Tasa de Incorporación (IR): Probabilidad de que el contenido almacenado sea cargado en el contexto.
  • Tasa de Activación (AR): Probabilidad de que el agente ejecute el resultado pretendido por el atacante.
  • Tasa de Éxito de Ataque de Extremo a Extremo (E2E-ASR): El producto de WSR, IR y AR.

3. Resultados Clave

Los autores evaluaron tres modelos (GLM-5.1, GPT-5-mini, MiniMax-M2.7) a través de 162 casos únicos de SPI.

• Vulnerabilidad General: Todos los modelos probados exhibieron una vulnerabilidad significativa, con una E2E-ASR que oscila entre el 32.1% y el 42.0%.
• Etapas Desacopladas: Las tres etapas (Escritura, Incorporación, Activación) están mayormente desacopladas. Una alta tasa de éxito de escritura no garantiza la activación. Por ejemplo, MiniMax-M2.7 tuvo la WSR más alta (86.4%) pero una E2E-ASR menor debido a una menor IR y AR, mientras que GLM-5.1 compensó una menor WSR con un alto éxito descendente.
• Variación del Objetivo de Ataque:
  • Manipulación de Hechos: Altamente efectiva (74–82% E2E-ASR). Los modelos tratan consistentemente los hechos inyectados como un estado de mundo válido una vez incorporados.
  • Manipulación de Preferencias: Consistentemente difícil (0–11% E2E-ASR). Los modelos tienden a priorizar las restricciones explícitas del usuario sobre las preferencias inyectadas.
  • Manipulación del Alcance de Acción: Muestra una alta varianza (18.5–40.7% E2E-ASR), dependiendo de la interpretación del alcance de la tarea por parte del modelo.
• Canales de Persistencia: Los canales de carga directa (por ejemplo, Memoria de Trabajo, Contexto Basado en Archivos como AGENTS.md) son significativamente más peligrosos que los canales condicionales (por ejemplo, Memoria Archivística). La carga directa elude la incertidumbre de las decisiones de recuperación, lo que conduce a mayores tasas de éxito.
• Tipo de Ataque: El Disfraz Contextual (enmarcar los payloads como directivas legítimas) supera consistentemente a la inyección ingenua, principalmente al aumentar la Tasa de Éxito de Escritura (WSR), lo que indica que los mecanismos de alineación existentes son más vulnerables a eludir las salvaguardas de tiempo de escritura que las de tiempo de ejecución.

4. Contribuciones

El artículo reclama las siguientes contribuciones:

1. Identificación y Formalización: Identifica la transición de agentes sin estado a agénticos con estado como una fuente de una nueva vulnerabilidad fundamental, definiendo formalmente la Inyección de Prompts Almacenada entre Sesiones (SPI).
2. Marco Sistemático: Presenta la primera taxonomía que unifica fuentes de inyección, canales de persistencia, mecanismos de incorporación y daños descendientes, estableciendo un lenguaje común para el campo.
   3.ación Benchmark Operacional: Introduce SPI-Benchmark y un kit de herramientas de sandbox, permitiendo el primer análisis cuantitativo de SPI a través de diversos modelos, objetivos y canales.
3. Principio de Diseño: Destaca la gestión segura del contexto como un principio de diseño de primera clase para sistemas agénticos, argumentando que los riesgos de seguridad surgen no solo de entradas maliciosas, sino de cómo las arquitecturas gobiernan el ciclo de vida del estado persistente.

5. Significación y Reclamaciones

El artículo sostiene que la SPI transforma fundamentalmente la inyección de prompts de una amenaza efímera a nivel de modelo en una vulnerabilidad a nivel de sistema de larga duración. La significación radica en la comprensión de que, en sistemas agénticos persistentes, la "superficie de ataque" se extiende más allá de las entradas inmediatas del usuario para incluir la propia memoria, archivos y artefactos de herramientas del agente.

Los autores afirman que el principal desafío de seguridad ha pasado de filtrar meramente entradas maliciosas a gestionar la contaminación del estado y la construcción del contexto. Afirman que los mecanismos de persistencia (memorias, sistemas de archivos) se convierten efectivamente en parte de la superficie de ataque ejecutable. El trabajo tiene como objetivo motivar a la comunidad a ir más allá de los supuestos de seguridad limitados a la sesión y desarrollar defensas sistemáticas, mecanismos de aislamiento y principios arquitectónicos específicamente para la ejecución de agentes persistentes entre sesiones. El artículo concluye señalando que, si bien la taxonomía se basa en los diseños actuales, el ecosistema de sistemas agénticos en rápida evolución sugiere que este panorama de amenazas continuará expandiéndose.