Promesa de compras automáticas con IA vs la realidad de la inyección de instrucciones
Los agentes de IA que navegan y completan compras en línea están ganando terreno, pero una vulnerabilidad conocida como inyección de instrucciones sigue sin solución definitiva, exponiendo a los usuarios a riesgos inesperados.
Los nuevos agentes de inteligencia artificial integrados en navegadores pueden leer la pantalla, rellenar formularios y efectuar pagos con un solo clic, pero esa comodidad viene acompañada de un riesgo silencioso: la inyección de instrucciones, un tipo de ataque que permite a terceros introducir órdenes maliciosas dentro del contenido que el agente procesa.
Cómo funciona la inyección de instrucciones
Imagine que su agente de IA es como un asistente que lee en voz alta todo lo que ve en una página web. Si alguien esconde una frase oculta en el código HTML o incluso dentro de una imagen, el asistente la interpreta como una orden válida. OpenAI lo describe así: «un ataque de inyección de instrucciones apunta a los agentes de IA incrustando instrucciones maliciosas en el contenido que el agente procesa».
El OWASP GenAI Security Project sitúa este riesgo en la posición número uno de su lista LLM Top‑10 (LLM01:2025), distinguiendo dos variantes:
- Directa: el propio usuario escribe algo que altera el comportamiento del modelo.
- Indirecta: el modelo recibe datos de fuentes externas –páginas web, correos, documentos o imágenes– y procesa cualquier instrucción oculta.
Lo más inquietante es que esas instrucciones pueden estar totalmente invisibles para el ojo humano; basta con que el modelo las lea para ejecutarlas.
Por qué no es un error de programación tradicional
En una aplicación convencional, un fallo de seguridad suele corregirse separando código y datos, como ocurre con la inyección SQL. Los modelos de lenguaje, sin embargo, no hacen esa distinción: todo el texto que reciben se trata como potencialmente generador de salida. El NCSC del Reino Unido lo explicó en diciembre de 2025, afirmando que la inyección de instrucciones «puede que nunca se mitigue del todo» y advirtiendo contra cualquier promesa de solución total.
Las propias empresas que desarrollan agentes de navegador confirman la dificultad del problema. OpenAI, en un comunicado de diciembre de 2025, afirmó:
«Es improbable que la inyección de instrucciones, igual que las estafas y la ingeniería social en la web, llegue a estar completamente resuelta».
Anthropic, por su parte, reconoció en noviembre de 2025 que «Ningún agente de navegador es inmune». Su modelo Claude Opus 4.5 logró reducir la tasa de éxito de ataques a 1 % en pruebas internas, pero la empresa subrayó que el riesgo sigue siendo «significativo».
OpenAI también señaló que, en escenarios reales, los ataques más efectivos alcanzan una tasa de éxito del 50 %, según un estudio de 2025 realizado por investigadores externos.
Qué permisos estás otorgando al instalar un agente de compra
Al activar una extensión que actúa como agente de IA, el navegador le concede permisos amplios: acceso a todas las pestañas abiertas, capacidad para leer y modificar el contenido de cualquier sitio, y autorización para interactuar con formularios y botones. En la práctica, eso equivale a entregarle a un asistente virtual la llave de su casa y la capacidad de abrir la nevera.
Si bien algunos proveedores ofrecen configuraciones más restrictivas, la mayoría de los agentes operan con el nivel máximo de privilegios para garantizar una experiencia sin fricciones. Esa flexibilidad, sin embargo, abre la puerta a que una página web maliciosa inserte instrucciones ocultas que el agente ejecutará sin que el usuario lo note.
Buenas prácticas para reducir el riesgo
Aunque no exista una solución definitiva, los usuarios pueden adoptar hábitos que disminuyan la exposición:
- Limitar el uso del agente a dominios de confianza y desactivar la extensión en sitios desconocidos.
- Revisar periódicamente los permisos otorgados en la configuración del navegador y revocar aquellos que no sean estrictamente necesarios.
- Mantener actualizado el agente y la extensión, pues los proveedores suelen publicar parches que mejoran la detección de patrones sospechosos.
- Utilizar autenticación de dos factores para cuentas de pago y habilitar notificaciones de actividad inusual.
Adoptar una mentalidad de «desconfío de cualquier contenido que no provenga de una fuente verificada» es la medida más eficaz mientras la comunidad sigue trabajando en defensas más robustas.
Qué significa este desafío para desarrolladores independientes
Para los creadores de extensiones y aplicaciones que incorporan agentes de IA, la inyección de instrucciones impone una carga adicional de seguridad. No basta con probar que el modelo genera respuestas coherentes; es necesario filtrar y sanitizar cualquier entrada externa antes de que llegue al modelo. Herramientas como promptGuard() o sanitizeHTML() pueden ayudar, pero su eficacia depende de la capacidad de anticipar trucos cada vez más sofisticados.
En última instancia, la industria parece aceptar que la vulnerabilidad será una constante, al menos mientras los modelos sigan operando bajo la premisa de «todo es texto». Los desarrolladores deberán diseñar flujos de trabajo que minimicen la superficie de ataque y comunicar de forma transparente a sus usuarios los riesgos involucrados.
