Prompt injection, en detalle
Hay dos variantes. En la directa, quien escribe al asistente intenta saltarse sus reglas. En la indirecta, la orden viaja escondida en el contenido: un currículum con texto invisible que pide puntuarlo alto, o un correo que ordena reenviar la bandeja de entrada. La segunda es la peligrosa en un agente con herramientas, porque el atacante no necesita acceso al sistema: le basta con que el agente lea algo suyo.
No existe hoy un filtro que lo impida del todo, y figura como el primer riesgo en la lista de OWASP para aplicaciones con modelos de lenguaje. Lo que funciona es limitar el daño: permisos mínimos por herramienta, separar lo que el agente puede leer de lo que puede hacer, confirmación humana en las acciones con efecto fuera y ningún secreto dentro del prompt.