Qué es
Un prompt es la instrucción que le das a una IA. La inyección de prompt indirecta pasa cuando alguien esconde instrucciones en una página web o en un archivo, y la IA, al leerlo, las toma como si se las hubieras dado vos.
OWASP la define así en su lista de riesgos para aplicaciones con modelos de lenguaje (edición 2025, primer puesto, «LLM01:2025 Prompt Injection»): «Indirect prompt injections occur when an LLM accepts input from external sources, such as websites or files.» Es decir: ocurre cuando el modelo recibe contenido de fuentes externas, como webs o archivos.
La IA lee todo lo que hay en la página, incluso lo que vos no ves. Las instrucciones pueden estar en:
| Dónde se esconde | Ejemplo |
|---|---|
| Texto invisible | Letra blanca sobre fondo blanco |
| Comentarios | Un comentario en un foro, como en el caso de Reddit |
| Imágenes | Texto casi invisible dentro de una imagen (Brave) |
Cuándo te puede pasar
- Usás un navegador con IA que entra a las páginas por vos: resume, completa formularios o hace compras.
- Tu aplicación tiene una función con IA que revisa ciertas páginas todos los días o cada cierta cantidad de horas. Si una de esas páginas trae una instrucción escondida, el modelo la puede seguir.
Qué dicen quienes lo estudian
Nadie lo da por resuelto:
| Quién | Qué dice | Traducción |
|---|---|---|
| OWASP | «Require human approval for high-risk actions» | Pedí aprobación de una persona para las acciones de alto riesgo |
| Google (Chrome, 2025-12-08) | «The primary new threat facing all agentic browsers is indirect prompt injection.» | La principal amenaza nueva para todos los navegadores con agentes es la inyección de prompt indirecta |
| Anthropic (2025-11-24) | «But prompt injection is far from a solved problem» | La inyección de prompt está lejos de ser un problema resuelto |
| Anthropic (2025-11-24) | «No browser agent is immune to prompt injection» | Ningún agente de navegador es inmune a la inyección de prompt |
| Claude for Chrome | «We recommend starting with trusted sites.» | Recomendamos empezar con sitios de confianza |
| Brave (2025-10-21) | «indirect prompt injection is not an isolated issue, but a systemic challenge» | No es un problema aislado, sino un desafío de todo el sistema |
El caso Comet
En agosto de 2025, investigadores de Brave publicaron una prueba sobre Comet, el navegador con IA de Perplexity. Una instrucción oculta en un comentario de Reddit hizo que el navegador leyera el email de la cuenta, iniciara un login, sacara el código de un solo uso de Gmail y publicara los dos en una respuesta. Fue una prueba de investigadores, no un ataque a usuarios.
Cómo proteger una función que lee páginas
- Solo lectura. Hacé que la función que visita páginas solo pueda leer. Que no pueda escribir, mandar mensajes, comprar ni tocar tus datos. Es el principio de mínimo privilegio que recomienda OWASP.
- Reglas para el modelo. En las instrucciones de tu función, dejá claro que el contenido de la página es información para analizar y que no tiene que ejecutar ninguna instrucción que venga de ahí.
- No confíes solo en las reglas. Por más reglas que definas, la IA se las puede saltear. Ningún agente es inmune, según Anthropic. Por eso los pasos 1 y 4 importan más que este.
- Entorno aislado. Corré el scraper o la función en un entorno separado que no tenga acceso a tu código ni a tus credenciales. Si la IA cae en la trampa, no tiene nada importante a mano.
- Aprobación humana. Si la función tiene que hacer algo de riesgo con lo que leyó, que lo apruebe una persona antes, como pide OWASP.
- Sitios de confianza. Limitá las páginas que revisa a fuentes que conocés.
Cómo cuidarte si usás un navegador con IA
- Sin acceso a banco ni mail si no hace falta. No le des al agente acceso a cuentas sensibles si la tarea no lo necesita.
- Leé antes de confirmar. Cuando te pida confirmar algo, fijate bien qué va a hacer antes de aceptar.
- Empezá por sitios de confianza. Es la recomendación de Claude for Chrome.
Si algo falla
- La IA siguió una instrucción de la página aunque le pusiste reglas: es lo esperable, las reglas solas no alcanzan. Sacale permisos (solo lectura) y movela a un entorno aislado.
- La función necesita escribir o actuar, no solo leer: separá la parte que lee de la que actúa y poné una aprobación humana en el medio.
- Querés saber si una página tiene texto escondido: seleccioná todo el texto de la página. La letra blanca sobre blanco aparece al seleccionarla.
- El navegador con IA te pide confirmar algo que no pediste: no aceptes. Cancelá y revisá qué página tenía abierta.