💬 NLP

SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents

Este artículo presenta SkillBloat, un marco de dos fases que explota los canales de inyección de habilidades de confianza en agentes de codificación de LLM para lograr una amplificación de tokens significativa (5.4x–10.1x), revelando una amenaza de abuso de recursos económicos distinta y ortogonal a los ataques de seguridad tradicionales.

Autores originales: Yuanjin Zheng, Jingbang Chen

Publicado 2026-08-25

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Yuanjin Zheng, Jingbang Chen

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el panorama moderno de la inteligencia artificial, los grandes modelos de lenguaje han evolucionado de simples generadores de texto a agentes autónomos capaces de realizar razonamientos y acciones complejas. Estos asistentes digitales pueden leer código, ejecutar comandos y gestionar proyectos de software, apoyándose a menudo en un sistema de "habilidades" para ampliar sus capacidades. Piense en estas habilidades como manuales de instrucciones modulares o kits de herramientas que un agente puede descargar y en los que puede confiar para ayudarle a resolver problemas específicos. Al igual que un humano podría consultar una guía especializada para reparar un coche o analizar un informe financiero, un agente de IA carga estas guías digitales para comprender cómo abordar una tarea. Este ecosistema de habilidades compartidas ha hecho que los agentes sean más potentes y versátiles, pero también ha creado un nuevo tipo de vulnerabilidad. Debido a que estos agentes tratan estas guías como instrucciones de confianza, un actor malintencionado podría potencialmente ocultar comandos dañinos dentro de un manual aparentemente útil, engañando al agente para que haga algo que no debería hacer.

Los investigadores han temido durante mucho tiempo que estos agentes fueran engañados para robar datos o irrumpir en sistemas, pero un nuevo estudio revela una amenaza diferente y más silenciosa que apunta al bolsillo en lugar de a la bóveda de seguridad. Los investigadores, Yuanjin Zheng y Jingbang Chen, investigaron un fenómeno que llaman "amplificación de tokens". En el mundo de la IA, cada palabra que el modelo lee y escribe cuesta dinero, medido en unidades llamadas tokens. El equipo descubrió que se podría diseñar una habilidad maliciosa para obligar a un agente a realizar mucho más trabajo del necesario para completar una tarea simple, inflando el coste de la operación sin cambiar realmente el resultado final. Es una forma de abuso económico en la que se induce al agente a dar vueltas en círculos, revisar su trabajo repetidamente o generar informes excesivos, todo ello mientras parece funcionar perfectamente normal.

Para entender cómo funciona esto, los investigadores construyeron un marco que denominaron SkillBloat. Comenzaron con una biblioteca de quince formas diferentes de engañar a un agente para que desperdicie recursos. Estos métodos incluían instrucciones que obligaban al agente a escribir informes excesivamente largos, realizar comprobaciones de calidad innecesarias o simular errores que requirieran que el agente repitiera su trabajo. Los investigadores luego probaron estos trucos contra agentes de codificación del mundo real, específicamente aquellos creados por importantes empresas tecnológicas. Descubrieron que el simple hecho de seleccionar el tipo de truco adecuado podía aumentar la cantidad de trabajo que un agente realizaba en un promedio de cinco a diez veces. En algunos casos extremos, una tarea que normalmente costaba unos pocos centavos de ejecutar se disparó a un coste de más de cinco dólares, simplemente porque el agente estaba siguiendo un manual de instrucciones envenenado que le decía que fuera excesivamente minucioso.

El estudio no se detuvo en encontrar un solo truco eficaz. Los investigadores desarrollaron un proceso de dos pasos para refinar sus ataques. Primero, examinaron su biblioteca de trucos para encontrar cuál funcionaba mejor para un agente y una tarea específicos. Una vez identificado el método más efectivo, utilizaron una segunda inteligencia artificial para reescribir todo el documento de la habilidad, puliendo las instrucciones para que el comportamiento de desperdicio fuera aún más convincente. Este segundo paso permitió que el ataque se adaptara a las peculiaridades específicas del agente objetivo, asegurando que el trabajo extra pareciera una parte natural del flujo de trabajo. Los resultados fueron impactantes: los ataques refinados superaron consistentemente a los trucos iniciales, elevando aún más el consumo de recursos promedio. En un ejemplo detallado, un agente que analizaba un registro de meditación fue engañado para realizar una serie de pasos de verificación complejos y ediciones de archivos que aumentaron su uso de tokens en más de veintiséis veces, todo ello mientras completaba con éxito la solicitud original de categorizar las entradas del registro.

Lo que hace que este descubrimiento sea particularmente preocupante es que los agentes no fallaron; tuvieron éxito en sus tareas. Las instrucciones maliciosas fueron diseñadas para preservar la apariencia de una operación normal mientras secretamente elevaban el coste. Los investigadores probaron si estas habilidades envenenadas funcionarían en diferentes tareas o si solo eran efectivas para el problema específico para el que fueron diseñadas. Descubrieron que las habilidades eran altamente portátiles; una habilidad diseñada para desperdiciar recursos en un tipo de proyecto a menudo funcionaba igual de bien en proyectos completamente diferentes. Esto sugiere que una sola habilidad maliciosa podría distribuirse ampliamente y causar un daño financiero significativo en muchos usuarios y aplicaciones diferentes. El estudio también señaló que las versiones más ligeras y rápidas de los modelos de IA eran a menudo más vulnerables a estos ataques que sus contrapartes más potentes, ya que los modelos más fuertes parecían mejores reconociendo e ignorando instrucciones redundantes.

Los investigadores enfatizan que esta amenaza es distinta de los ataques de seguridad tradicionales. Mientras que estudios previos se centraron en cómo los agentes podrían ser engañados para filtrar secretos o ejecutar código no autorizado, este trabajo destaca una vulnerabilidad en el modelo económico de los servicios de IA. El ataque no requiere que el agente rompa sus reglas o comprometa su seguridad; simplemente explota el deseo del agente de ser minucioso y servicial. Al incrustar instrucciones que fomentan la verificación excesiva, los reintentos repetidos y los informes verbosos, un atacante puede agotar los recursos sin activar las alarmas de seguridad que suelen detectar el comportamiento malicioso. Los hallazgos sugieren que, a medida que los agentes de IA se integren más en nuestras vidas digitales, protegerlos requerirá no solo bloquear a los malos actores, sino que también requerirá nuevas formas de detectar cuándo un agente está siendo manipulado para realizar un trabajo innecesario. El estudio concluye que el ecosistema de las habilidades de los agentes, si bien es una herramienta poderosa para la innovación, expone actualmente una superficie de ataque práctica y peligrosa que es fácil de explotar y difícil de defender.

Resumen Técnico: SkillBloat

Declaración del Problema

El artículo aborda un vector de amenaza novedoso en los agentes de codificación de Modelos de Lenguaje Extensos (LLM): la Amplificación de Tokens mediante Inyección de Habilidades (Skill Injection). Mientras que la investigación existente sobre las habilidades de los agentes (paquetes de instrucciones modulares como SKILL.md) se centra en riesgos de seguridad como la filtración de datos, la escalada de privilegios y la inyección de puertas traseras, este trabajo identifica una clase distinta de amenaza: el abuso de recursos económicos.

En los ecosistemas modernos de agentes de codificación (por ejemplo, las habilidades de agentes de Anthropic, Gemini CLI), las habilidades son tratadas como extensiones de capacidad de alto privilegio y confianza. Un actor malintencionado puede diseñar una habilidad "envenenada" que, aunque parece completar la tarea legítima del usuario, obliga al agente a consumir una cantidad significativamente mayor de tokens de la necesaria. Esto resulta en costos económicos desproporcionados para el usuario o el proveedor del servicio sin activar los detectores de seguridad tradicionales diseñados para la exfiltración de datos o el compromiso del sistema. El desafío central radica en la dificultad de distinguir entre instrucciones verbosas legítimas y directivas de amplificación maliciosas, ya que las habilidades se cargan con un alto nivel de confianza.

Metodología: El Marco de Trabajo SkillBloat

Los autores proponen SkillBloat, un marco de trabajo de dos fases diseñado para descubrir y optimizar sistemáticamente los ataques de amplificación de tokens mediante la inyección de habilidades. El marco opera bajo un modelo de amenaza donde un atacante controla el contenido de un documento de habilidad y sus scripts empaquetados.

Fase 1: Cribado de Tipos de Ataque

La primera fase consiste en cribar una biblioteca de diversos tipos de condiciones de ataque ( $Z = \{z_1, ..., z_K\}$ ) para identificar el mecanismo de amplificación más efectivo para un par específico de habilidad-tarea.

Biblioteca de Ataques: Los autores instancian 15 condiciones de ataque distintas dirigidas a tres mecanismos de amplificación:
1. Inflación de Salida: Inducir reportes verbosos, análisis de múltiples perspectivas o descomposición de grano fino.
2. Amplificación Impulsada por Herramientas: Forzar canales (pipelines) de múltiples etapas, bucles de control de calidad (QA) repetitivos, ciclos de lectura-escritura-verificación de archivos o mecanismos de reintento de errores.
3. Amplificación de Contexto: Inflar el contexto de trabajo con materiales de referencia o resúmenes que crecen de forma monótona.
Agente de Ataque de Fusión de Herramientas (Tool-Fusion Attack Agent): Para cada condición, un LLM especializado (el Agente de Ataque) reescribe el documento completo de SKILL.md. Integra scripts de herramientas auxiliares como pasos estándar de configuración, análisis o verificación, asegurando que el ataque preserve la intención original de la tarea mientras incrusta la lógica de amplificación.
Selección: El sistema ejecuta el agente objetivo con cada habilidad reescrita y selecciona la condición ( $z^*$ ) que produce la mayor relación de amplificación ( $R_{total} = C_{adv} / C_{base}$ ).

Fase 2: Refinamiento Iterativo Guiado por LLM

La segunda fase refina al candidato más fuerte de la Fase 1 a través de un bucle de retroalimentación iterativo.

Proceso: Comenzando con el ganador de la Fase 1, el Agente de Ataque realiza $N$ iteraciones de refinamiento. En cada iteración, el agente reescribe el documento completo de la habilidad basándose en la retroalimentación estructurada de la traza de ejecución anterior.
Mecanismo de Retroalimentación: Un Analizador de Fallos diagnostica el resultado (por ejemplo, baja amplificación, fallo de la tarea, rechazo del agente) y proporciona retroalimentación específica. El prompt del sistema para el Agente de Ataque se adapta según estos diagnósticos para ajustar la estrategia de reescritura (por ejemplo, endureciendo la integración con el flujo de trabajo si es ignorada, o suavizando el lenguaje si el agente se niega).
Objetivo: Este bucle permite que el ataque se adapte a los patrones de comportamiento específicos del agente objetivo, optimizando el consumo de tokens mientras mantiene la finalización de la tarea.

Contribuciones Clave

Primer Estudio Sistemático: El artículo presenta la primera investigación sistemática de los ataques de amplificación de tokens mediante la inyección de habilidades, categorizándola como una amenaza ortogonal a la envenenación de habilidades orientada tradicionalmente a la seguridad.
Pipeline de Dos Fases: Los autores proponen y validan un pipeline que combina un cribado amplio de tipos de ataque con un reescrito de documento completo, iterativo y guiado por LLM.
Evaluación Empírica: El marco se evalúa en un benchmark de habilidades de agentes de codificación y prompts de tareas del mundo real a través de múltiples frontends de agentes (Claude Code, OpenAI Codex CLI) y modelos de backend.

Resultados Experimentales

La evaluación se realizó en un benchmark que contiene habilidades del mundo real en ingeniería de software, computación científica y procesamiento de datos. El estudio se probó contra Claude Code (usando GLM-4.7-Flash y glm-5) y OpenAI Codex (usando gpt-5.4-mini y gpt-5.5).

Magnitud de la Amplificación: SkillBloat logró una amplificación óptima promedio que oscila entre 5.4184× y 10.1455× en diferentes configuraciones.
- La máxima amplificación de una sola tarea observada fue de 75.86× (Codex con gpt-5.4-mini).
- Un caso de estudio específico sobre la tarea "principios-de-conciencia" mostró un aumento de 38,410 tokens a 1,013,561 tokens (26.39×), elevando el costo estimado de $0.21 a$ 5.41.
Finalización de la Tarea: Crucialmente, los ataques preservaron la finalización de la tarea. En muchas configuraciones, la tasa de finalización de las ejecuciones atacadas fue comparable o incluso superior a la línea base benigna (por ejemplo, Codex gpt-5.4-mini mejoró del 86% al 92% de finalización bajo ataque).
Vulnerabilidad del Modelo: Se encontró que los modelos de backend más ligeros (por ejemplo, GLM-4.7-Flash, gpt-5.4-mini) son más vulnerables que sus contrapartes más fuertes, probablemente porque los modelos más fuertes son mejores comprimiendo instrucciones redundantes o resistiendo la adherencia literal a los bucles de validación inyectados.
Estudio de Ablación: El estudio confirmó que la Fase 2 (refinamiento iterativo) aporta un valor significativo sobre la Fase 1 por sí sola. El bucle guiado por retroalimentación superó consistentemente a la línea base de remuestreo "sin retroalimentación", demostrando que las ganancias provienen de la adaptación al comportamiento del agente objetivo en lugar de simplemente muestrear más candidatos.
Persistencia Trans-Tarea: El artículo demuestra que las habilidades envenenadas no están sobreajustadas a una sola tarea. Al desplegarse en nuevas variantes de tareas sin optimización previa, las habilidades retuvieron aproximadamente el 92% de su efecto de amplificación original, e incluso algunas aumentaron su potencia.

Significado y Reivindicaciones

Los autores afirman que SkillBloat expone una superficie de ataque práctica y previamente inexplorada en los ecosistemas de IA agéntica. La importancia de este trabajo radica en tres áreas principales:

Amenaza Ortogonal: A diferencia de los ataques de seguridad que buscan comprometer datos o sistemas, esta amenaza apunta a los recursos económicos. Es distinta porque no necesariamente activa los detectores de seguridad diseñados para operaciones maliciosas, ya que el agente parece estar funcionando normalmente y completando la tarea.
Explotación de Rasgos del Agente: Los ataques más efectivos (por ejemplo, "reintento de error falso", "descomposición de tareas") explotan rasgos deseables de los agentes como la persistencia, la planificación estructurada y la autoverificación. Esto los hace difíciles de distinguir de las instrucciones de habilidades legítimas y de alta calidad.
Implicaciones de Defensa: Los hallazgos sugieren que las defensas actuales son insuficientes. Proteger los ecosistemas de agentes requiere mecanismos que razonen no solo sobre operaciones maliciosas, sino también sobre el uso anormal de recursos inducido por instrucciones de habilidades que, de otro modo, parecen plausibles. El artículo concluye que el ecosistema de habilidades es altamente susceptible a esta forma de abuso económico, motivando la necesidad de defensas más sólidas contra la amplificación de recursos.