Resumen Técnico: Escondiéndose en los Flotantes (Hiding in Plain Floats)

Planteamiento del Problema

Las defensas actuales contra la inyección de prompts indirecta y la inyección de contenido en los procesos (pipelines) de Modelos de Lenguaje de Gran Escala (LLM) dependen de un supuesto central: que las señales maliciosas son visibles como texto dentro de las vistas de datos inspeccionadas (configuración bruta o informes reconstruidos). Las defensas como Prompt Guard, Llama Guard, las compuertas de regex de esquema y el enfoque de "spotlighting" operan escaneando cadenas en busca de instrucciones imperativas o patrones de ataque conocidos.

Este documento identifica un modo de fallo donde este supuesto se rompe. Los autores demuestran que en los procesos que exponen canales numéricos auxiliares reconstruidos (por ejemplo, parámetros de generación procedimental, arreglos de embeddings o uniformes de sombreado/shaders) a un LLM, los payloads maliciosos pueden transportarse como parámetros de punto flotante estructurados. Al reconstruirse, estos payloads pueden aparecer como telemetría fragmentada (por ejemplo, volcados hexadecimales/hex dumps) en lugar de prosa continua. En consecuencia, las capas de inspección de solo texto fallan al detectar la señal maliciosa porque la señal no es visible como texto hasta que ya ha entrado en el contexto del modelo, o no es visible como texto en absoluto en las vistas inspeccionadas.

Metodología

Modelo de Amenaza

El estudio se centra en un proceso donde un activo estructurado enviado por el usuario (por ejemplo, una configuración de generación procedimental) es reconstruido por un analizador (parser) de confianza en un informe legible por humanos, el cual es posteriormente resumido o analizado por un LLM.

• Atacante: Controla los arreglos numéricos y los campos del activo de origen, pero no controla el código de reconstrucción, los prompts del sistema ni los pesos del modelo.
• Defensor: Puede inspeccionar la configuración bruta de origen, el informe reconstruido, o ambos, utilizando compuertas de regex, clasificadores comerciales o modelos ajustados (fine-tuned).
• Objetivo: Determinar si la inspección de solo texto puede detectar ataques donde el payload está oculto en arreglos de flotantes y se reconstruye como datos no prosaicos.

Portadores Esteganográficos

Los autores introducen dos portadores novedosos y un portador de ablación para probar los límites de detección:

1. T2 (Esteganografía de Coeficientes Espectrales): Codifica caracteres del payload en los dígitos decimales bajos de valores de punto flotante que representan coeficientes armónicos. La configuración bruta no contiene texto, pero la reconstrucción decodifica estos flotantes de vuelta en prosa continua dentro de una "Nota de Análisis Espectral".
2. T3 (Portador de Arreglo de Flotantes derivado de IFS): Utiliza un Sistema de Funciones Iteradas (IFS) para dirigir un mapa de contracción con bytes del payload. La trayectoria resultante de $(x, y)$ se almacena como dos arreglos de flotantes coordinados.
   • Contramedidas: Para reducir la separabilidad de primer orden respecto a los datos armónicos uniformes, los autores aplican:
     • Blanqueo (Whitening): XOR de los bytes del payload con un flujo pseudialeatorio para eliminar el sesgo de frecuencia de caracteres.
     • Jitter Acotado (Bounded Jitter): Adición de ruido determinista ($\epsilon \sim U[-0.04, 0.04]$) a las coordenadas.
     • Permutación Determinística (Deterministic Shuffle): Permutación del arreglo para romper las señales de autocorrelación secuencial.
   • Reconstrucción: El payload se decodifica y se renderiza como un volcado hexadecimal estilo xxd (16 bytes por línea) con una barra lateral ASCII. Este formato no contiene prosa continua, solo cadenas hexadecimales fragmentadas.
3. T1b-abl (Ablación): Almacena el payload como prosa pura en la configuración bruta, pero lo reconstruye como un volcado hexadecimal (idéntico al de T3 en su reconstrucción). Esto aísla el efecto de la fragmentación de la capa de reconstrucción.

Configuración Experimental

• Modelos: Tres LLM comerciales (OpenAI GPT-5.4, Google Gemini 3.1 Flash-Lite, Anthropic Claude Sonnet 4.6).
• Defensas: Cuatro configuraciones: Ninguna, Prompt de Frontera (endurecimiento del prompt del sistema), Compuerta de Esquema (regex en el informe reconstruido) y un Ensamble de Clasificadores de Doble Capa (Prompt Guard 2 + TF-IDF ajustado sobre el texto del payload del estudio).
• Escala: 14,400 ensayos atacados y 4,800 ensayos limpios a través de tres modelos.
• Métricas:
  • Leakage ASR: Presencia de cadenas objetivo en la salida (fuga de información).
  • Strong ASR: Éxito estructuralmente conforme (por ejemplo, marcador en los primeros 150 caracteres, reproducción de la plantilla inyectada).
  • Tasa de Detección: Fracción de ataques señalados por las defensas.

Resultados Clave

Hallazgo Principal: El Fallo de la Inspección de Solo Texto

El portador T3 logró un 94.3% de Leakage ASR contra la defensa más fuerte centrada en texto evaluada (Ensamble de Prompt Guard 2 + TF-IDF).

• Comparación: El mismo texto del payload en forma plana (T0) fue bloqueado (0% ASR) por la misma defensa.
• Mecanismo: El portador T3 elimina las señales textuales en la capa bruta (flotantes) y las fragmenta en la capa de reconstrucción (volcado hexadecimal). Ninguna de las vistas de texto inspeccionadas contiene evidencia de prosa del ataque.
• Replicación: Un detector roberta-base ajustado replicó este patrón, capturando todos los portadores visibles como prosa (T0, T2) pero omitiendo T3 por completo (0% de detección). La confianza máxima del clasificador en las muestras de T3 fue de 0.225, muy por debajo del umbral de 0.5.

Análisis de Ablación (Descomposición 2x2)

Una ablación 2x2 aisló los mecanismos necesarios para la evasión:

• T0 (Prosa/Prosa): Capturado en ambas capas.
• T2 (Estego/Prosa): Evadió la inspección de la capa bruta pero fue capturado en la reconstrucción (prosa visible).
• T1b-abl (Prosa/Hex): Evadió la inspección de la capa de reconstrucción de prosa pero fue capturado en la inspección de la capa bruta.
• T3 (Estego/Hex): Evadió ambas capas.
  Esto confirma que tanto la esteganografía de la capa de datos como la fragmentación de la capa de reconstrucción son necesarias para derrotar la inspección de texto de doble capa.

Rendimiento Específico del Modelo

• GPT-5.4: Mayor ASR (68.5% general, 97.0% para T3 bajo el clasificador).
• Claude Sonnet 4.6: Menor ASR (50.8% general) debido principalmente a las negativas (refusals), aunque T3 aún logró un 92.3% de ASR bajo la defensa del clasificador.
• Strong ASR: Incluso con la defensa del clasificador, T3 logró un éxito estructuralmente conforme significativo (por ejemplo, 81.6% para la inyección de metadatos fabricados), demostiendo que los sistemas descendentes pueden actuar sobre los marcadores reproducidos incluso si el modelo "se niega" al imperativo.

Límites de Detección

• Zero-Shot Prompt Guard 2: Detectó 0% de los payloads, incluyendo el texto plano (T0). Los autores interpretan esto como un desajuste de alcance fuera de la distribución (los modelos de guardia apuntan a sobrescripciones imperativas, mientras que los payloads son metadatos declarativos), no como un fallo arquitectónico general.
• Parche Consciente del Formato (Format-Aware Patch): Un detector simple de líneas xxd añadido a la compuerta de esquema redujo el ASR de T3 a 0%. Sin embargo, los autores señalan que esto es una firma específica de la presentación, no una defensa general contra la clase de portador.

Significancia y Reivindicaciones

El documento no pretende presentar un exploit indetectable o una vulnerabilidad universal en todos los procesos de entrada estructurada. En su lugar, establece un límite de fallo reproducible para la inspección de solo texto en arquitecturas de procesos específicas.

1. Limitación de las Defensas Centradas en Texto: La contribución principal es demostrar que cuando un proceso admite un portador donde la señal maliciosa no es visible como texto hasta que (o a menos que) entra en el contexto del modelo, las salvaguardas de solo texto (Prompt Guard, Llama Guard, regex) son insuficientes.
2. Portador vs. Contenido: El estudio demuestra que el portador determina la detectabilidad, no el contenido del payload. El mismo payload es bloqueado cuando es visible como prosa pero tiene éxito cuando se oculta en flotantes y se fragmenta como hexadecimal.
3. Riesgo de Metadatos Declarativos: El ataque tiene éxito porque los payloads están enmarcados como metadatos declarativos (por ejemplo, "tokens de configuración de auditoría") en lugar de instrucciones imperativas. Esto evade las defensas entrenadas para rechazar sobrescrituras imperativas, explotando un desajuste en las distribuciones de entrenamiento de seguridad.
4. Alcance Modesto: Los autores declaran explícitamente que la contribución no es un exploit indetectable. La implementación actual de T3 es detectable mediante validación semántica (verificación de atractores IFS válidos) o detectores de formato de volcado hexadecimal específicos. La significancia radica en identificar las condiciones específicas (reconstrucción de confianza de canales numéricos auxiliares) bajo las cuales fallan las suposiciones de seguridad basadas en texto.