Resumen Técnico: La Anatomía de una Inyección de Prompt

Planteamiento del Problema

Cuatro años después de la identificación inicial de la inyección de prompt en 2022, el campo carece de un modelo estandarizado y basado en componentes para analizar ataques. Actualmente, los artefactos de inyección de prompt se documentan principalmente como cadenas de texto literales en lugar de exploits estructurados. Este enfoque de "coincidencia de cadenas" (string-matching) crea inconsistencias significativas en el análisis: dos analistas pueden discrepar sobre si un prompt "DAN" (Do Anything Now) y un texto blanco sobre blanco oculto en un currículum constituyen el mismo tipo de amenaza.

A medida que los agentes de Modelos de Lenguaje Extensos (LLM) se vuelven más capaces, los ataques apuntan cada vez más a sumideros (sinks) técnicos de TI (bases de datos, aplicaciones web) y manipulan el análisis de seguridad asistido por IA (por ejemplo, el triaje de malware). La falta actual de un modelo de componentes impide que los defensores, los equipos de red teaming y los equipos de Inteligencia de Amenazas Cibernéticas (CTI) etiqueten, comparen y muten ataques de manera efectiva. Además, confiar en la analogía de la inyección SQL es una guía deficiente para la mitigación, ya que los LLM carecen de una distinción inherente entre datos e instrucciones, lo que hace que el riesgo residual sea difícil de eliminar mediante consultas parametrizadas. El problema no es solo la cadena de ataque, sino la ausencia de un lenguaje compartido para describir las funciones funcionales del artefacto.

Metodología

El artículo propone un modelo de siete componentes para formalizar la estructura de un artefacto de inyección de prompt. Este modelo descompone el ataque en cinco campos que describen el artefacto en sí y dos campos que describen el entorno. La metodología consiste en:

1. Definir Roles Funcionales: Identificar los trabajos específicos que un ataque debe realizar para tener éxito, yendo más allá del lenguaje superficial para centrarse en la mecánica subyacente (por ejemplo, distinguir entre ocultación y portador).
2. Establecer Reglas de Etiquetado: Crear reglas de decisión para reducir el desacuerdo entre codificadores, asegurando que diferentes realizaciones de lenguaje natural que mapean hacia la misma intención reciban las mismas etiquetas estructurales.
3. Referenciar el Estado del Arte: Mapear el nuevo modelo contra marcos existentes (taxonomías de Campañas, taxonomías de Técnicas, HOUYI, ReNeLLM, Promptware Kill Chain) para demostrar cómo el nuevo modelo abarca el espacio funcional que otros cubrían solo parcialmente.
4. Ejemplos Prácticos: Aplicar el modelo a casos reales e ilustrativos, incluyendo la vulnerabilidad EchoLeak (CVE-2025-32711) y una muestra de malware en el mundo real que intenta evadir el análisis de seguridad asistido por IA.

Contribuciones Clave

1. El Modelo de Siete Componentes

La contribución central es una descomposición estructurada de la inyección de prompt en siete componentes:

• Campos del Artefacto (El Cuerpo del Prompt):

  • Portador (Carrier): Contenido de apariencia benigna que transporta la instrucción maliciosa (por ejemplo, un informe de error, un currículum o una invitación de calendario). Debe sobrevivir a la revisión humana y a la recuperación de la máquina.
  • Ocultación (Concealment): La capa de ofuscación (por ejemplo, texto blanco sobre blanco, codificación Base64, cambio de idioma) diseñada para evadir la detección humana o de filtros.
  • Ruptura de Contexto (Context-Break): El escape de sintaxis (el "');--" de la inyección de prompt) que termina el contexto de instrucción confiable, forzando al modelo a procesar el texto siguiente como una nueva instrucción.
  • Escalada de Privilegios: Distinto de la ruptura de contexto, esto cambia lo que el modelo está dispuesto o es capaz de hacer. Se divide en Evasión de Alineación (derrotar el entrenamiento de rechazo mediante personas o manipulación emocional) y Abuso de Capacidad (coaccionar a un agente para que use permisos que ya posee, como en el patrón de "dependiente confundido").
  • Payload (Carga Útil): La instrucción ejecutable (shellcode). El artículo define clases funcionales (Reconocimiento, Exfiltración, Acción, Persistencia, DoS, Subversión de Seguridad) y enfatiza el seguimiento de la Intención (objetivo de la herramienta, sumidero, efecto) en lugar de la redacción superficial.

• Campos del Entorno:

  • Vector de Entrega: Cómo entra el artefacto en el límite de confianza (Directo vs. Indirecto). La entrega indirecta (por ejemplo, documentos RAG envenenados) escala independientemente del esfuerzo del atacante.
  • Canal de Retorno: Cómo llegan los resultados al atacante (En línea, HTTP, DNS, Correo electrónico, Plataformas de colaboración, o Nulo para ataques de "disparar y olvidar").

2. Registro de Análisis Lógico

El artículo introduce un esquema de tipo JSON para registrar incidentes. Este registro separa la Intención (el objetivo, ej. mostrar_informacion_actual_del_cliente), la Superficie (el fraseo o codificación específica) y el Efecto Compilado (la llamada a la herramienta o acción real). Esto permite a los analistas agrupar campañas que comparten la misma "forma de técnica" incluso con cero superposición léxica.

3. Cruces y Proyecciones

El artículo proporciona un cruce que mapea los siete componentes con el Promptware Kill Chain y demuestra cómo los marcos previos (HOUYI, ReNeLLM) son proyecciones sobre subespacios restringidos de este modelo. Por ejemplo, se muestra que el resultado de dos componentes de ReNeLLM es una vista válida pero limitada de los jailbreaks directos, mientras que se requiere el modelo completo para ataques de agentes complejos.

Resultados y Casos Ilustrativos

El artículo valida el modelo a través de ejemplos prácticos:

• EchoLeak (CVE-2025-32711): Demostrado como un ataque de Abuso de Capacidad donde el portador fue un correo electrónico malicioso, la entrega fue indirecta vía RAG, y el payload extrajo secretos utilizando permisos que el agente ya poseía. El canal de retorno utilizó una imagen de referencia estilo Markdown para transferir datos a través de los propios servidores de Microsoft.
• Muestra de Malware de Evasión de IA: Una muestra en el mundo real (proyecto "Skynet") subida a VirusTotal intentó manipular a un analista de IA. El binario actuó como el portador, con la intención del payload siendo Subversión de Seguridad (específicamente marcar_como_benigno). El canal de retorno fue Nulo, ya que el objetivo era alterar la decisión de triaje sin exfiltración.
• Agente Compuesto: Un ejemplo ilustrativo que combina un ticket de Jira envenenado (Portador) con comentarios HTML (Ocultación) y etiquetas de sistema falsificadas (Ruptura de Contexto) para disparar una inyección SQL a través de una herramienta descendente.

Significación y Reivindicaciones

El artículo sostiene que este modelo de componentes proporciona un lenguaje compartido para la ofensiva, la defensa y la inteligencia de amenazas que actualmente falta. Su significación radica en:

1. Estandarización: Permite la clasificación de ataques basados en la intención y la estructura en lugar de firmas de cadenas frágiles. Dos ataques con diferente redacción pero con el mismo tupla de componentes (entrega, ruptura de contexto, escalada de privilegios, intención, canal de retorno) se identifican como la misma forma de técnica.
2. Mejora de la Detección y el Análisis: Al centrarse en los roles funcionales (por ejemplo, distinguir entre evasión de alineación y abuso de capacidad), los defensores pueden comprender mejor la mecánica de un ataque. El artículo cita evidencia de que el prompting guiado por taxonomía mejora las tasas de detección de jailbreak (del 65.9% al 78.0% en trabajos previos), sugiriendo que las etiquetas estructuradas mejoran el análisis.
3. Utilidad para CTI: El modelo permite a los equipos de CTI agrupar campañas y muestras de malware que comparten formas de técnica, incluso cuando incrustan inyección de prompt para manipular el análisis asistido por IA. Soporta el mapeo con estándares de la industria como STIX 2.1 y MITRE ATLAS.
4. Capacitación de Red Teaming: Permite a los red teamers variar un componente a la vez mientras mantienen fija una cadena de intención, facilitando la mutación y prueba sistemática en lugar de la iteración opaca de cadenas.

El artículo mantiene una postura modesta, señalando que el modelo es descriptivo, no prescriptivo para la construcción de salvaguardas. Reconoce que el éxito sigue dependiendo del modelo y es no determinista, recomendando el registro de rangos de Tasa de Éxito de Ataque (ASR) esperados en lugar de indicadores binarios de éxito. La principal propuesta de valor es la capacidad de descomponer el artefacto de inyección de prompt a través de los roles funcionales necesarios para ataques agénticos e híbridos, una capacidad que ningún marco previo poseía por sí solo.