El mensaje oculto que detuvo el escaneo
Al rastrear sitios web populares en busca de scripts de huella digital del navegador, un investigador descubrió un script inusual con nombres sospechosos y caracteres invisibles. Este script, encontrado en uno de los 10,000 sitios web principales de Internet, contenía elementos aparentemente benignos junto con un inquietante contenido oculto.
La decodificación de los caracteres invisibles reveló una instrucción falsa cargada con temas que activan filtros de seguridad. Este texto oculto incluía lenguaje relacionado con venenos como ricina y fentanilo, junto con términos políticamente sensibles como la Plaza de Tiananmén, dirigidos específicamente a modelos de IA chinos.
El propósito aparente del script era la huella digital anti-bot ordinaria, recopilando datos como agentes de usuario y proveedores de GPU. Sin embargo, el texto añadido cumplía una función adversaria distinta: hacer que el análisis de la IA fallara al activar filtros de seguridad.
Cuando se probaron, modelos comerciales de vanguardia como GPT-6 Astra de OpenAI y Claude Opus 5.5 bloquearon inmediatamente el análisis debido a estas palabras clave incrustadas. Incluso el programa Daybreak Blue de OpenAI para trabajos de seguridad aprobados no pudo eludir las negativas de Astra.
Por el contrario, los modelos de código abierto y los modelos chinos, incluidos DeepSeek, GLM y Kimi, procesaron el script sin problemas. GLM 5.3 identificó con éxito los nombres de los venenos como búsquedas de variables matemáticamente inofensivas y desofuscó completamente el código, lo que demuestra una divergencia crítica en el comportamiento de la IA.
Cuando las barreras de seguridad se convierten en una venda
Los investigadores probaron posteriormente el script en varios modelos de lenguaje grandes (LLM). Los resultados revelaron una marcada divergencia: los modelos comerciales de vanguardia como GPT-6 Astra de OpenAI y Claude Opus 5.5 y Fable 5.1 de Anthropic se negaron a procesar el código por completo o detuvieron el análisis a mitad de camino, citando violaciones de seguridad. Astra, por ejemplo, marcó el código por "posible riesgo biológico" y se negó a continuar.
Estos resultados subrayan una limitación crítica. Incluso con niveles de acceso especializados como Daybreak Blue de OpenAI, diseñado para trabajos de seguridad aprobados, los modelos mantuvieron su negativa, requiriendo el nivel superior Daybreak Red para una posible anulación. Sin embargo, los modelos de código abierto y del ecosistema chino, específicamente DeepSeek, GLM y Kimi, analizaron el código sin incidentes, desofuscando con éxito el script a pesar de las palabras trampa incrustadas.
Este mecanismo de rechazo crea una denegación de análisis, cegando efectivamente a los escáneres de seguridad automatizados. Cuando un sistema impulsado por LLM encuentra un script de este tipo, sus barreras de seguridad pueden impedirle inspeccionar el resto de un archivo sospechoso, dejando el código potencialmente malicioso sin examinar. Si bien las versiones del modelo, los prompts específicos y los niveles de acceso pueden influir en el comportamiento, los resultados observados demuestran una vulnerabilidad donde los filtros de seguridad se convierten en una venda explotable.
Un truco que tanto atacantes como defensores pueden usar
Los atacantes pueden utilizar cadenas que activan rechazos para interrumpir el triaje de seguridad basado en IA. Al incrustar comentarios o nombres de variables que hacen referencia a riesgos biológicos o temas políticos sensibles dentro del malware, pueden inducir a los modelos de lenguaje grandes (LLM) comerciales a rechazar o detener el procesamiento antes de llegar al código dañino. Esto crea un efecto de denegación de servicio contra el análisis estático impulsado por IA, cegando efectivamente las tuberías de seguridad automatizadas.
Por el contrario, los defensores emplean una táctica similar con context bombs en canary tokens. Estas cadenas cortas y ocultas están diseñadas para hacer que un agente de IA detenga una intrusión tras encontrar un señuelo plantado. Por ejemplo, Tracebit, una empresa de seguridad estadounidense, informó de un éxito significativo utilizando context bombs en ataques simulados.
Las pruebas de Tracebit involucraron a cinco modelos líderes en una cuenta de nube corporativa falsa a lo largo de 152 ejecuciones de ataque. Claude Opus 4.8, que logró acceso de administrador completo en el 93% de las ejecuciones normales, llegó a cero veces con una sola context bomb plantada. En todos los modelos, el acceso de administrador cayó del 57% de las ejecuciones al 5%.
Esta técnica explota el comportamiento del modelo en lugar de identificar de forma fiable a un atacante. Aunque es eficaz en las pruebas reportadas por Tracebit, las context bombs aprovechan las barreras de seguridad inherentes de la IA para convertir los mecanismos de protección del propio atacante en un interruptor de apagado defensivo. Para más información sobre el descubrimiento subyacente, consulte Why Is This Fingerprinting Script Creating Bioweapons?.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
La solución real es un análisis fiable, no una laguna legal
Este desafío va más allá de la simple ofuscación; expone una tensión crítica en la seguridad de la IA. Las políticas de rechazo general, diseñadas para prevenir el mal uso, pueden convertirse inadvertidamente en una venda para los defensores. Hugging Face, por ejemplo, recurrió a un modelo GLM 5.2 autohospedado para la respuesta a incidentes después de que los filtros de seguridad de IA comerciales bloquearan el análisis de más de 17,000 acciones de atacantes, citando una incapacidad para distinguir entre actividad maliciosa e investigación forense.
El compromiso es evidente: las salvaguardas estrictas pueden obstruir el trabajo de seguridad legítimo, pero relajarlas corre el riesgo de hacer que los modelos sean más útiles para los atacantes. Mientras que modelos como GPT-6 Astra y Claude Opus se negaron a analizar scripts sospechosos, modelos abiertos como DeepSeek, GLM y Kimi los procesaron, identificando los disparadores de rechazo integrados y procediendo con la desofuscación.
Los equipos de seguridad deben abordar esto de manera proactiva. Pruebe los modelos de IA para detectar comportamientos de rechazo frente a ejemplos adversarios conocidos y posibles exploits. Implemente enfoques de escaneo por capas que combinen la IA con herramientas tradicionales y, fundamentalmente, la revisión humana. Diseñe flujos de trabajo forenses que asuman que ningún modelo cumplirá siempre, asegurando que la anulación manual y las rutas de análisis alternativas sigan siendo viables. Este cambio prioriza el análisis fiable sobre las prohibiciones generales, haciendo de la IA un socio más robusto en la defensa.
Preguntas frecuentes
¿Cómo puede un script hacer que una IA se niegue a analizarlo?
Puede incluir texto oculto o señuelo que contenga temas que activen los filtros de seguridad de un modelo, provocando que el sistema se niegue o se detenga antes de explicar el código.
¿Era malicioso el script de fingerprinting en sí?
La investigación descrita en el video encontró un script de anti-bot y fingerprinting de navegador mayormente estándar. Su texto oculto parecía diseñado para obstruir el análisis de la IA.
¿Puede esta técnica ser utilizada por atacantes?
Sí. Los atacantes pueden colocar texto que active el rechazo en malware o archivos sospechosos para interrumpir los escaneos de seguridad y la clasificación basados en IA.
¿Cómo pueden los equipos de seguridad reducir el riesgo?
Utilice múltiples métodos de análisis, preserve la revisión humana, pruebe las herramientas frente a contenido que active el rechazo y evite depender de un solo modelo o proveedor.