Un documento que lee la IA no debería darle órdenes
Una aplicación con IA puede leer correos, documentos o páginas para preparar un resumen. El problema aparece cuando trata lo que encuentra como una orden sobre qué debe hacer después. El documento es material de trabajo; no debería decidir los permisos de la aplicación.
La fuente puede contener algo más que datos
OWASP describe la inyección de prompts como una manipulación de la entrada que altera el comportamiento del modelo. Puede llegar directamente en una consulta o indirectamente en contenido externo, como una página o un archivo. No siempre es una frase visible a primera vista.
En un caso hipotético, un documento para resumir podría intentar provocar una comunicación fuera del proceso previsto. No hace falta que el texto parezca técnico: una petición escrita con tono administrativo también puede salir de lo que la aplicación tiene permiso para hacer. Este ejemplo explica un riesgo general, no un incidente de T801.
Separa lectura y capacidad de actuar
Define qué puede hacer la aplicación antes de conectarle fuentes externas. Si solo necesita resumir, no le des capacidad para enviar correos o modificar registros. Los permisos mínimos reducen el impacto de un error, aunque no eliminan el riesgo.
Marca el contenido externo como material para analizar y comprueba las salidas con reglas del programa. Un resultado bien formado no es suficiente: también debe corresponder a la tarea y respetar el público autorizado. Las acciones sensibles necesitan controles de aprobación fuera del texto que se está leyendo.
Prueba los límites antes de ampliar el flujo
Utiliza documentos sintéticos y datos ficticios en un entorno aislado. Comprueba que una entrada no pueda cambiar el destinatario de una comunicación ni añadir una acción no prevista. Revisa el resultado real, no solo la respuesta del modelo.
OWASP señala que ni la recuperación de documentos ni el ajuste del modelo resuelven completamente este problema. Hay que combinar controles y revisarlos cuando cambian las fuentes o las herramientas. Para empezar, es mejor un resumen sin efectos externos que una cadena de acciones con permisos más amplios de lo necesario.