💻 computer science

ChronosAttack: Adversarial Tool Scheduling Attacks on LLM Agents

Este artículo presenta ChronosAttack, una técnica adversaria novedosa que manipula la temporización de las respuestas de herramientas auténticas en agentes de LLM asíncronos para alterar los resultados de las decisiones sin modificar el contenido, demostrando que el orden de las respuestas constituye por sí mismo una superficie de ataque significativa en diversos modelos.

Autores originales: Arash Vashagh

Publicado 2026-08-31

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Arash Vashagh

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La inteligencia artificial moderna ha evolucionado de sistemas que simplemente responden preguntas a agentes capaces de tomar acciones. Estos agentes actúan como asistentes digitales que pueden alcanzar el mundo exterior, utilizando herramientas de software para consultar un pronóstico del tiempo, reservar un vuelo o recuperar una entrada de una base de datos. No solo leen un documento estático; interactúan con un entorno dinámico, esperando a que las herramientas terminen su trabajo y luego utilizando esa nueva información para decidir qué hacer a continuación. Este proceso se basa en una secuencia de eventos: el agente hace una pregunta, la herramienta trabaja, la herramienta devuelve una respuesta y el agente utiliza esa respuesta para avanzar. Para que estos sistemas sean seguros y fiables, debemos comprender no solo qué información reciben, sino también cómo la sincronización de esa información moldea sus decisiones.

Los investigadores saben desde hace tiempo que el orden en el que se presenta la información puede cambiar la forma en que un humano o una máquina interpreta una situación. Si se desordena una lista de opciones, la elección que aparece en la parte superior suele parecer más importante que la que está en la parte inferior. Este artículo explora una forma nueva y sutil en la que este principio puede ser explotado contra los agentes de IA. El estudio, titulado ChronosAttack, investiga si un atacante puede cambiar la decisión final de un agente simplemente retrasando la llegada de respuestas de herramientas honestas y no modificadas. El atacante no necesita hackear la herramienta, cambiar los datos o inyectar instrucciones falsas. Solo necesita controlar el reloj, reteniendo una pieza específica de información el tiempo suficiente para cambiar el orden en el que el agente la ve.

Los investigadores probaron esta idea en cuatro modelos de IA diferentes y potentes de las principales empresas tecnológicas. Establecieron un escenario en el que un agente tenía que elegir entre tres opciones basándose en tres piezas separadas de evidencia proporcionadas por herramientas. En una situación normal, las herramientas devolverían sus respuestas en un orden natural y lógico. En el escenario de ataque, los investigadores introdujeron retrasos diminutos y controlados en respuestas específicas. Estos retrasos fueron tan pequeños que se midieron en milisegundos —fracciones de segundo—, pero fueron suficientes para desordenar el orden en el que el agente recibía la evidencia. El contenido de la evidencia permaneció exactamente igual; solo cambió el tiempo.

Los resultados mostraron que esta simple manipulación del tiempo podía alterar drásticamente la elección del agente. En algunos casos, el retraso causó que el agente cambiara su decisión hacia una opción objetivo específica con alta confianza. Por ejemplo, un modelo que inicialmente elegía una opción solo el 10 por ciento de las veces comenzó a elegirla el 83 por ciento de las veces cuando se cambió el orden de la evidencia. Otro modelo mostró una reacción aún más dramática, pero en la dirección opuesta: cuando se cambió el orden, abandonó su elección habitual casi por completo. Un tercer modelo se mantuvo relativamente estable, lo que demuestra que no todos los sistemas son igualmente vulnerables a este tipo de ataque de tiempo. El estudio encontró que el efecto no se limitaba a los agentes que recordaban interacciones pasadas; incluso cuando el agente procesaba toda la información a la vez, el simple hecho de cambiar el orden en el que aparecía el texto era suficiente para cambiar la decisión.

Los investigadores también examinaron si retrasos mayores causarían ataques más fuertes. Encontraron que el tamaño del retraso importaba menos que el orden específico que creaba. Un pequeño retraso que causó un solo intercambio en el orden de dos piezas de evidencia fue a menudo tan efectivo como un retraso mayor que causó múltiples intercambios. Esto sugiere que la vulnerabilidad reside en cómo el agente pondera la secuencia de la información, más que en la magnitud de la interrupción. Para contrarrestar esto, el equipo probó dos estrategias defensivas. Una estrategia consistió en esperar hasta que todas las herramientas hubieran terminado su trabajo antes de presentar los resultados al agente, asegurando que la información llegara en un orden fijo y seguro. Otra estrategia consistió en pedir al agente que tomara la decisión varias veces con la información desordenada en cada orden posible y luego solo aceptar una respuesta si los resultados eran consistentes. Ambos métodos redujeron significativamente la capacidad del atacante para controlar el resultado, aunque su eficacia varió dependiendo del modelo de IA específico utilizado.

Este trabajo revela que el tiempo de respuesta de las herramientas es un límite de seguridad que ha sido ampliamente pasado por alto. Demuestra que el proceso de toma de decisiones de un agente es sensible al ritmo de sus entradas, incluso cuando esas entradas son completamente auténticas. El estudio no afirma que esta vulnerabilidad exista en todos los sistemas del mundo real, ni sugiere que todos los agentes de IA estén igualmente en riesgo. En cambio, proporciona una prueba clara de que la secuencia de eventos es una variable que puede ser manipulada para cambiar los resultados. Al mostrar que un retraso de menos de un segundo puede cambiar una decisión de una elección a otra, la investigación destaca una nueva frontera en la seguridad de la IA. Sugiere que, a medida que estos agentes se integren más en nuestras vidas digitales, asegurar que sean robustos contra la sutil influencia del tiempo será tan importante como protegerlos de datos falsos o comandos maliciosos.

Resumen Técnico: ChronosAttack – Ataques de Programación de Herramientas Adversariales en Agentes LLM

Declaración del Problema

Los agentes de Modelos de Lenguaje Extensos (LLM) dependen cada vez más de herramientas externas para recuperar información y ejecutar tareas de múltiples pasos. Si bien investigaciones previas han estudiado extensamente las vulnerabilidades de seguridad relacionadas con la inyección de prompts, el envenenamiento de herramientas y la manipulación de la memoria, estos ataques suelen implicar la modificación del contenido de las observaciones o la inyección de instrucciones maliciosas.

Este artículo identifica una superficie de ataque distinta e inexplorada: el tiempo de respuesta de las herramientas. En los sistemas de agentes asíncronos, las respuestas de las herramientas suelen llegar en diferentes momentos, y los agentes pueden procesarlas secuencialmente a medida que llegan. El autor plantea que un atacante que no puede modificar, eliminar o fabricar las respuestas de las herramientas, pero que puede controlar el tiempo de entrega (introduciendo retrasos acotados y no negativos), puede alterar la decisión final del agente. La pregunta central de investigación es si cambiar el orden de llegada de evidencia auténtica y no modificada es suficiente para desplazar la decisión de un agente, incluso sin alterar la información misma.

Metodología

Modelo de Amenaza

El estudio define un modelo de amenaza de "solo retraso" donde un atacante controla una capa intermedia asíncrona (por ejemplo, una cola de peticiones o un proxy). Las capacidades del atacante están estrictamente limitadas a:

Añadir retrasos no negativos ( $\delta_i$ ) a las respuestas de las herramientas.
Acotar el retraso máximo ( $\epsilon$ ).
Restricciones: El atacante no puede modificar los payloads, añadir/eliminar observaciones, duplicar datos o acelerar las respuestas. La integridad del payload se verifica mediante hashing SHA-256.

Mecanismo de Ataque: ChronosAttack

ChronosAttack explota la naturaleza asíncrona de la ejecución de herramientas. Mediante la introducción de retrasos específicos, el atacante fuerza un reordenamiento de la secuencia de observaciones ( $\pi$ ) respecto al orden de llegada natural ( $\pi_0$ ). El ataque se basa en la hipótesis de que los LLM exhiben sensibilidad temporal, donde el orden de serialización de entradas idénticas influye en la distribución de la salida.

Protocolo de Evaluación

El autor evaluó ChronosAttack en cuatro familias distintas de LLM:

OpenAI: GPT-5.6 Sol
Google: Gemini 3.6 Flash
DeepSeek: V4 Flash
Anthropic: Claude Sonnet 4.6

Escenarios: Se utilizaron dos tareas de toma de decisiones controladas:

Selección de Proveedor de Respaldo en la Nube: Orden natural (Fiabilidad $\to$ Riesgo $\to$ Coste) vs. Orden atacado (Riesgo $\to$ Coste $\to$ Fiabilidad).
Selección de Socio de Envío: Orden natural (Entrega $\to$ Reclamaciones $\to$ Precio) vs. Orden atacado (Reclamaciones $\to$ Entrega $\to$ Precio).

Configuraciones Experimentales:

Con estado (Stateful): Las observaciones se entregan secuencialmente, con el agente manteniendo un historial de interacción entre llegadas.
Sin estado (Stateless): Todas las observaciones se proporcionan en una única llamada al modelo, pero su serialización textual sigue el orden atacado. Esto aisla el efecto de la serialización de la secuencia secuencial.
Control Simultáneo: Todas las observaciones se proporcionan en un orden determinista fijo para establecer preferencias base.
Análisis de Perturbación: Se probaron cero, una y dos inversiones por pares para determinar si mayores retrasos se correlacionan con ataques más fuertes.

Defensas Evaluadas:

Sincronización de Barrera Causal: Almacena todas las observaciones en un búfer para un paso de decisión hasta que estén disponibles, presentándolas en un orden canónico.
Defensa de Consistencia de Orden: Ejecuta la tarea de decisión a través de todas las permutaciones posibles de las observaciones (por ejemplo, $3! = 6$ permutaciones) y requiere un consenso (por ejemplo, $\geq 4$ votos) para emitir una decisión; de lo contrario, se abstiene.

Contribuciones Clave

Identificación de una Nueva Superfía de Ataque: El artículo demuestra que el tiempo mismo es una variable de control adversarial. A diferencia de otros ataques que dependen de la manipulación de contenido, ChronosAttack utiliza únicamente retrasos acotados para alterar la serialización de evidencia auténtica.
Análisis de Sensibilidad entre Modelos: El estudio revela que la sensibilidad al orden de las observaciones depende altamente del modelo. Un esquema adversarial fijo puede causar:
- Desplazamientos dirigidos fuertes hacia un resultado específico (ej. GPT-5.6 Sol, Claude).
- Desplazamientos fuertes en la dirección opuesta (ej. Gemini).
- Estabilidad relativa (ej. DeepSeek).
Independencia del Estado: El autor muestra que el estado secuencial del agente (historial de interacción) no es requerido para que el ataque tenga éxito. En configuraciones sin estado, cambiar solo la serialización textual de entradas idénticas fue suficiente para alterar las decisiones finales.
Costo No Lineal del Ataque: La magnitud del retraso no se correlaciona necesariamente con la fuerza del ataque. Una sola inversión por pares (retraso pequeño) fue a menudo tan efectiva como, o más efectiva que, múltiples inversiones.

Resultados

Rendimiento del Ataque de Esquema Fijo

GPT-5.6 Sol: Exhibió desplazamientos dirigidos fuertes. En el escenario de la Nube, la selección del objetivo aumentó del 0% (natural) al 83.3% (atacado). En el de Envío, aumentó del 10.0% al 66.7%.
Claude Sonnet 4.6: Mostró un fuerte desplazamiento dirigido en el escenario de la Nube (46.7% $\to$ 93.3%), pero se mantuvo resistente en el escenario de Envío (0% $\to$ 0%).
Gemini 3.6 Flash: Mostró el mayor efecto de dirección inversa. La selección del objetivo cayó del 100% al 6.7% en el escenario de la Nube y del 100% al 80.0% en el de Envío.
DeepSeek V4 Flash: Demostró una estabilidad comparativa, con cambios mínimos en las tasas de selección de objetivos a través de los escenarios.

Estado y Perturbación

Impacto Sin Estado: Eliminar el estado secuencial no eliminó la vulnerabilidad. Por ejemplo, la selección del objetivo de la Nube de Claude cambió de 0% a 100% en la configuración sin estado, probando que el orden de serialización por sí solo impulsa el cambio de decisión.
Tamaño de la Perturbación: Aumentar el número de inversiones (de 1 a 2) no aumentó consistentemente la tasa de éxito del ataque. En varios casos, una sola inversión fue suficiente para maximizar el efecto.

Eficacia de la Defensa

Sincronización de Barrera Causal: Altamente efectiva para modelos susceptibles a ataques dirigidos. Redujo las tasas de selección de objetivos al 0% para GPT-5.6 Sol y Claude en ambos escenarios.
Defensa de Consistencia de Orden: También efectiva, evitando la salida del objetivo para GPT-5.6 Sol y Claude. En el escenario de la Nube de Claude, la defensa resultó en un empate 3–3 entre permutaciones, causando que el sistema se abstuviera en todos los ensayos.

Significado y Reivindicaciones

El artículo afirma que el tiempo de respuesta de las herramientas constituye una superficie de ataque relevante para la seguridad de los agentes LLM asíncronos, incluso cuando los contenidos de las herramientas permanecen auténticos y sin modificar.

Robustez Temporal: Los hallazgos sugieren que la "robustez temporal" debería ser una nueva métrica para evaluar la seguridad de los agentes. La estabilidad de decisión de un modelo debe medirse contra variaciones en el orden de las observaciones, no solo contra perturbaciones de contenido.
Vulnerabilidad a Nivel de Sistema: El ataque resalta que la seguridad del agente es un problema a nivel de sistema que involucra protocolos de comunicación y programación, no solo los parámetros del modelo de lenguaje subyacente.
Dependencia del Modelo: Los resultados advierten contra la suposición de una vulnerabilidad uniforme entre familias de modelos. Un esquema que logra manipular con éxito a un modelo puede tener efectos insignificantes o incluso contraproducentes en otro.
Implicaciones de Defensa: Los mecanismos simples de sincronización (almacenamiento en búfer hasta que todos los datos estén disponibles) y las comprobaciones de consistencia de orden pueden mitigar significativamente esta clase de ataques, aunque su efectividad varía según el modelo.

El autor concluye que las arquitecturas de agentes futuras deberían tratar la incertidumbre temporal de forma explícita, razonando potencialmente sobre el posible ordenamiento de las llamadas a herramientas en lugar de asumir que el orden de llegada tiene un significado semántico por defecto.