Resumen Técnico: Inyección de Rol Estructural en Prompts con Plantillas Handlebars

Declaración del Problema

Las aplicaciones de Modelos de Lenguaje Extensos (LLM) construyen frecuentemente prompts utilizando motores de plantillas, siendo Handlebars una opción dominante (por ejemplo, la predeterminada en Microsoft Semantic Kernel). Handlebars ofrece dos modos de interpolación: doble llave {{x}} (que aplica el escape de HTML) y triple llave {{{x}}} (que inserta datos sin procesar). El modo de doble llave se documenta como el predeterminado "seguro", diseñado para prevenir la Cross-Site Scripting (XSS) en contextos HTML mediante el escape de caracteres como <, >, &, " y '.

El artículo identifica una brecha de seguridad crítica: la inyección de rol estructural. Los roles de chat (System, User, Assistant) en los prompts suelen estar delimitados por patrones de texto específicos (por ejemplo, ``, [INST], Human:). Si un atacante controla los datos inyectados en un espacio de la plantilla, puede incrustar estos delimitadores para forjar un turno de mayor privilegio, invalidando las instrucciones del desarrollador. La cuestión central es si el escape de HTML de Handlebars neutraliza eficazmente estos delimitadores estructurales. El artículo postula que, debido a que el escape de HTML apunta a un conjunto específico de caracteres (paréntesis angulares), puede fallar al proteger contra delimitadores que dependen de otros caracteres (corchetes, dos puntos, almohadillas de Markdown), dejando a los desarrolladores con una falsa sensación de seguridad.

Metodología

El estudio emplea un enfoque de doble capa que combina el análisis estático y la evaluación empírica en cuatro modelos (GPT-3.5 Turbo, GPT-4o mini, GPT-4.1 mini y Claude Haiku 4.5).

1. Análisis Diferencial Estático (Independiente del Modelo):

   • Los autores analizan siete familias de delimitadores: plain (instrucción pura), Markdown (###), Anthropic (Human:/Assistant:), Llama-2 ([INST], <<SYS>>), ChatML (``), Llama-3 (<|start_header_id|>) y XML (<system>).
   • Miden la "tasa de supervivencia" de los tokens de control de rol al pasar por el escapeExpression de Handlebars. Esto determina qué delimitadores son reescritos (neutralizados) y cuáles permanecen byte a byte idénticos (intactos).

2. Evaluación Empírica:

   • Alcance: 5,760 ensayos en 16 escenarios (que cubren 8 categorías de aplicaciones como resumen y QA), 7 familias de delimitadores y 2 objetivos de ataque.
   • Objetivos de Ataque:
     • Secuestro de Tarea (Task Hijack): Instruir al modelo para que abandone su tarea y produzca un token de marcador específico.
     • Exfiltración de Secretos (Secret Exfiltration): Instruir al modelo para que revele un secreto "canario" plantado en la instrucción del sistema (un objetivo más difícil debido al entrenamiento de alineación).
   • Variables: El estudio alterna el espacio de Handlebars entre los modos raw ({{{document}}}) y escaped ({{document}}), manteniendo constante la instrucción de sistema confiable.
   • Métricas: Tasa de Éxito de Ataque (ASR) con intervalos de confianza de Wilson del 95%, analizada mediante la prueba exacta de Fisher.

Contribuciones Clave

• Aislamiento del Mecanismo Estático: El artículo proporciona un análisis independiente del modelo demostrando que el escape de Handlebars es incidental en lugar de exhaustivo. Neutraliza las familias de paréntesis angulares (ChatML, Llama-3, XML), pero deja las familias de corchetes (Llama-2), dos puntos (Anthropic) y Markdown completamente intactas.
• Protección Condicional: El estudio establece que el valor predeterminado "seguro" escapado solo protege contra esquemas de delimitadores específicos. Para las familias donde los tokens sobreviven al escape (por ejemplo, Human: o [INST]), los modos escaped y raw son funcionalmente idénticos respecto al riesgo de inyección.
• Validación Empírica: A través de 5,760 ensayos, los autores confirman que el escape reduce el ASR solo cuando:
  1. La familia de delimitadores es neutralizada por el escape de HTML.
  2. El modelo no está ya "saturado" (es decir, susceptible de seguir instrucciones puras sin encuadre estructural).
• Gradiente de Susceptibilidad del Modelo: La investigación destaca que la identidad del modelo es un predictor de riesgo más fuerte que la elección de la plantilla. Por ejemplo, Claude Haiku 4.5 resistió ambos objetivos casi por completo, mientras que GPT-3.5 Turbo y GPT-4.1 mini fueron altamente susceptibles independientemente del escape.

Resultados

• Tasas de Supervivencia:
  • Supervivencia 0.00 (Totalmente Neutralizado): ChatML, Llama-3, XML.
  • Supervivencia 1.00 (Totalmente Intacto): Markdown, Anthropic.
  • Supervivencia 0.33 (Mixto): Llama-2 (sobrevive debido a [INST], neutralizado debido a <<SYS>>).
• Tasas de Éxito de Ataque (ASR):
  • GPT-3.5 Turbo: Mostró alta susceptibilidad (97% raw, 91% escaped para hijack). El efecto del escape solo fue visible en la familia Llama-2 (cayendo del 88% al 52%) porque otras familias ya estaban en el techo o fueron totalmente neutralizadas.
  • GPT-4o mini: Demostró una interacción más clara. Las familias de paréntesis angulares (Llama-3, XML) vieron caídas significativas de ASR con el escape (por ejemplo, Llama-3 cayó del 56% al 12%), mientras que las familias de dos puntos/Markdown se mantuvieron altas (100% y ~88%, respectivamente).
  • Claude Haiku 4.5: Resistió todos los ataques (0% ASR) tanto en modo raw como en escaped, haciendo que la elección de la plantilla fuera irrelevante para este modelo.
• Exfiltración de Secretos: Este objetivo más difícil no saturó los modelos, revelando la interacción entre el escape y las familias de delimitadores de forma más limpia. El escape redujo la filtración solo para las familias neutralizadas (por ejemplo, Llama-3 y XML) y tuvo efecto nulo en las familias supervivientes (Anthropic, Markdown).

Significado y Reivindicaciones

El artículo concluye que el valor predeterminado escapado de Handlebars no es un control de inyección de prompts. Su protección es un subproducto del escape de HTML que coincide accidentalmente con los paréntesis angulares, no un diseño de defensa para los delimitadores estructurales de los LLM.

• Falsa Seguridad: Los desarrolladores que confían en el valor predeterminado "seguro" están protegidos contra algunos esquemas (ChatML) pero completamente expuestos a otros (Anthropic, Markdown, Llama-2), sin ninguna advertencia en la documentación.
• Se Requiere Separación Estructural: El artículo argumenta que las elecciones de plantillas no pueden sustituir la separación estructural. Una defensa efectiva requiere separar las instrucciones de los datos en canales distintos, entrenar a los modelos para respetar las jerarquías de instrucciones, o codificar explícitamente los tramos no confiables según las reglas de delimitación del formato de chat específico.
• Dependencia del Modelo: El perfil de riesgo está determinado más por la susceptibilidad inherente del modelo que por el modo de escape del motor de plantillas. Un modelo susceptible a instrucciones puras será secuestrado independientemente del escape; un modelo resistente permanecerá seguro.

Los autores enfatizan que, aunque el valor predeterminado escapado debe permanecer habilitado (ya que es inofensivo y útil para contextos HTML), no debe confiarse como la única defensa contra la inyección de roles estructurales en aplicaciones de LLM.