Un script rutinario oculta un activador de rechazo
En un descubrimiento sorprendente, un investigador encontró un script de rastreo en un sitio web de alto tráfico que contenía caracteres invisibles que se decodificaban en instrucciones falsas para la IA. Este texto oculto incluía referencias a temas tabú como la fabricación de venenos y la Plaza de Tiananmén. El propósito no era describir la función real del script, sino activar los filtros de seguridad de la IA y evitar el análisis.
Al decodificarse, la cadena presentaba un conjunto de instrucciones fabricadas diseñadas para activar una variedad de controles de seguridad de la IA. Estos iban desde advertencias de riesgo biológico relacionadas con compuestos químicos hasta temas políticamente sensibles destinados a detener incluso a los modelos más permisivos. El texto fue un intento deliberado de convertir las protecciones integradas de la IA en armas contra sí misma.
Debajo de esta capa engañosa, el código era un script convencional de anti-bot y fingerprinting. Su función principal era identificar y rastrear usuarios, no ejecutar cargas útiles maliciosas. El texto oculto y "envenenado" servía como un mecanismo de anti-análisis, una forma sofisticada de ofuscación para disuadir a las herramientas de seguridad impulsadas por IA de diseccionar su verdadero comportamiento.
El hallazgo subraya un nuevo vector en la ciberseguridad: explotar los mecanismos de protección de la IA como táctica defensiva u ofensiva. En lugar de demostrar una carga útil peligrosa, el texto oculto demostró un método avanzado para evitar el escrutinio automatizado, convirtiendo la precaución de la IA en un bloqueo.
Cuando los filtros de seguridad detienen el trabajo de seguridad
Para probar el impacto del script, un investigador lo presentó a ocho agentes de IA, instruyéndoles para desofuscar el código. El prompt incluía una advertencia crítica: los nombres de variables sospechosos podrían ser señuelos intencionales. Esta configuración tenía como objetivo ver si los modelos podían diferenciar el código genuino del texto envenenado deliberadamente.
Los resultados destacaron un marcado contraste entre los modelos cerrados y abiertos. GPT-6 Astra de OpenAI y Fable 5.1 marcaron inmediatamente el script por riesgo biológico, negándose a procesarlo. Claude Opus 5.5 y Fable 5.1 ingirieron varios miles de caracteres pero fueron interrumpidos por los filtros de seguridad antes de generar cualquier resultado. Los modelos Frontier demostraron ser totalmente poco cooperativos.
Los modelos abiertos, sin embargo, demostraron resiliencia. DeepSeek, GLM y Kimi procedieron con la desofuscación, sin inmutarse incluso por la referencia incrustada a la Plaza de Tiananmén diseñada para hacerlos caer. Esta divergencia sugiere umbrales variables para la activación de filtros de seguridad en todas las arquitecturas de IA.
GLM, por ejemplo, identificó con éxito los mensajes ocultos como ruido. Luego reconoció que los nombres de variables aparentemente relacionados con venenos eran, de hecho, funciones matemáticas que generaban valores numéricos utilizados activamente por el código subyacente. Este análisis mostró su capacidad para penetrar la ofuscación y extraer información significativa, separando la lógica del código genuino de los disparadores de seguridad engañosos.
El mismo truco puede convertirse en una trampa cibernética
El mismo truco puede convertirse en una trampa cibernética
Los adversarios explotan los mecanismos de seguridad de la IA para impedir el análisis defensivo, pero el mismo principio puede ser utilizado como arma contra intrusos automatizados. La firma de ciberseguridad Tracebit desarrolló context bombs: cadenas cortas y cuidadosamente elaboradas incrustadas dentro de canaries (activos señuelo como credenciales falsas o archivos diseñados para atraer a los atacantes). Estas cadenas activan los filtros de seguridad intrínsecos de un agente de IA, provocando que rechace la tarea.
El mecanismo es engañosamente simple: un atacante de IA autónomo escanea un señuelo, ingiere el texto plantado en su ventana de contexto y activa sus propias barreras de seguridad. Esta negativa detiene al agente, convirtiendo sus salvaguardas programadas en un interruptor de seguridad defensivo. En julio, Tracebit publicó una investigación sobre estas "context bombs", formalizando su uso.
El marco ampliado de Tracebit, que abarca nueve técnicas de engaño en 773 ejecuciones de prueba en AWS, resultó ser altamente eficaz. Las "context bombs" redujeron la finalización de objetivos del atacante autónomo en un 91% y aumentaron el gasto de inferencia del atacante hasta 23 veces. Los modelos de frontera como GPT-5.6 Cyber, Kimi K3 y DeepSeek V4 Pro, que anteriormente presumían de una tasa de éxito base del 97,5%, lograron un 0% de éxito al encontrar estas trampas. Para más información sobre el descubrimiento original, consulte Why Is This Fingerprinting Script Creating Bioweapons?.
Este uso paralelo de disparadores de rechazo destaca una nueva dinámica crítica en la ciberseguridad impulsada por IA. Los atacantes pueden frustrar el análisis de IA de los defensores plantando "texto venenoso", mientras que los defensores pueden redirigir esas mismas salvaguardas contra intrusos automatizados, transformando la lógica interna de una IA en una potente herramienta defensiva.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Un sistema de alerta útil, no un escudo universal
Las "context bombs" ofrecen un sistema de alerta útil, pero no son un escudo universal. Esta táctica defensiva depende totalmente del modelo del agente atacante y de sus salvaguardas integradas. Una IA con un entrenamiento diferente o políticas de rechazo menos estrictas puede simplemente ignorar el contenido plantado o procesar la tarea sin interrupción, como lo demostraron modelos abiertos como DeepSeek, GLM y Kimi.
Para los equipos de seguridad, depender únicamente de rechazos estrictos conlleva riesgos operativos. Las "context bombs" demasiado sensibles pueden generar falsos positivos, activando alertas para el triaje legítimo de malware o durante pruebas de penetración controladas. Los analistas deben mantener herramientas alternativas y rutas de revisión para evitar que estos rechazos ralenticen el trabajo de seguridad crítico.
Las "context bombs" son una capa de una estrategia de engaño robusta. La investigación de Tracebit muestra una reducción del 91% en la finalización de objetivos del atacante al utilizar estas técnicas. Sin embargo, los equipos de seguridad deben probar estos trucos de texto oculto contra los modelos de IA específicos que esperan encontrar, entendiendo que la negativa de un modelo a procesar información no equivale a una seguridad en todo el sistema. Simplemente indica que se activó una salvaguarda específica.
Preguntas frecuentes
¿Qué es el texto venenoso oculto en un script?
Es texto oculto, a veces codificado con caracteres invisibles, diseñado para activar los filtros de seguridad de un modelo de IA cuando analiza el script.
¿Qué intentaba hacer el texto oculto con los modelos de IA?
Incluía instrucciones falsas y temas sensibles destinados a provocar rechazos, interrumpiendo los intentos de inspeccionar el código circundante.
¿Qué es una "context bomb"?
Una "context bomb" es texto plantado en un activo señuelo, como un canary, para activar las salvaguardas de un atacante de IA cuando lee el activo.
¿Esta técnica detiene a todos los modelos de IA?
No. Las pruebas del video encontraron que algunos modelos cerrados rechazaron la tarea, mientras que DeepSeek, GLM y Kimi completaron el análisis.