Investigadores de ciberseguridad descubrieron una nueva técnica de inyección de prompts denominada PuzzleMask, la cual permite ocultar instrucciones maliciosas en textos de apariencia normal para burlar los controles de seguridad en sistemas de Inteligencia Artificial (IA).
El hallazgo fue realizado por la división de Inteligencia de Amenazas de Check Point Software Technologies. La técnica evita el uso de formatos inusuales como codificación Base64, caracteres invisibles o emojis, logrando ingresar comandos que vulneran las políticas internas de los entornos corporativos.
Durante las pruebas, los expertos evaluaron el método en cuatro de los principales modelos de filtrado previo: Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard y Llama-Guard3.
Resultados de las pruebas de seguridad
En los ensayos realizados para medir el alcance de este vector de ataque, los investigadores registraron los siguientes resultados:
-
Evasión de filtros perimetrales: 0 de los 23 ensayos fue detectado por los modelos de inspección previa, alcanzando un 100% de éxito en la evasión.
-
Procesamiento en el modelo final: El sistema de destino interpretó con éxito las instrucciones maliciosas en 17 de 18 pruebas, lo que representa un 94% de efectividad.
Punto ciego en arquitecturas corporativas
Desde Check Point explicaron que este método expone una vulnerabilidad crítica en las arquitecturas del tipo "guardián a destino" (gatekeeper-to-target). Este diseño utiliza modelos ligeros de inspección rápida para filtrar las solicitudes antes de derivarlas a sistemas de mayor capacidad.
Al enmascarar los mandatos dentro de una estructura de lenguaje natural, los filtros no identifican anomalías. Esto permite que las instrucciones lleguen directamente al modelo final sin requerir técnicas de evasión complejas.
La brecha afecta principalmente a empresas que despliegan asistentes, agentes y copilotos con acceso a bases de datos corporativas y flujos de trabajo automatizados.
Recomendaciones para las organizaciones
Frente a este escenario, los especialistas señalaron que la sola inspección de las solicitudes de entrada resulta insuficiente y recomendaron adoptar las siguientes medidas:
-
Auditar el razonamiento, las acciones y las respuestas del modelo tras aprobar el comando.
-
Aplicar técnicas de parafraseado en las entradas para disolver eventuales mensajes ocultos.
-
Tratar los textos extraídos de páginas web, correos electrónicos o documentos externos con la misma prevención que un archivo adjunto sospechoso.
-
Endurecer las políticas de configuración en los modelos de filtrado previo.
Los expertos concluyeron que las organizaciones deben evolucionar desde la simple revisión de entradas hacia una supervisión activa del comportamiento de los agentes de IA en tiempo real.
Ver Video
