Prompt Injection, la estafa definitiva que puede hackearte si usas los nuevos navegadores con IA

En las últimas semanas se han puesto en alza los nuevos navegadores con IA. Comet, de Perplexity, y Atlas, de OpenAI, prometen hacerte mucho más fácil la navegación al insertar directamente su inteligencia artificial para resumir o procesar información… e incluso actuar con sus ‘modos agentes’ para navegar por ti y realizar acciones.

El problema… cuando cedemos el control a la máquina esta puede caer en trampas que un humano jamás caería. Ese es el secreto del prompt injection (inyección de instrucciones), la última estafa y más letal para acceder a datos de los usuarios porque, la vuelta de tuerca definitiva, es que estos navegadores pueden actuar con la memoria de todo lo que saben de nosotros.

Hay un ejemplo paradigmático que muestra lo peligroso que es: ¿Qué pasaría si, al abrir una página web aparentemente inocente, tu navegador decidiera por su cuenta abrir tu Gmail y enviar el contenido a un tercero? No es ciencia ficción. Es el mundo real de los navegadores con inteligencia artificial integrada.

La idea de interactuar con una IA que entienda lo que hay en una página web y nos asista suena útil, incluso futurista. Pero lo que pocos usuarios comprenden es que esa misma IA puede ser manipulada a través de mensajes camuflados, como si un mensaje secreto se escondiera entre líneas esperando el momento de activarse. Como si al leer un libro, en lugar de interpretar la historia, tu asistente virtual creyera que debe hacer lo que el villano dice.

Este es el riesgo cada vez más tangible del prompt injection, y los casos recientes con Atlas de OpenAI lo han puesto en el punto de mira.

Qué es el ‘prompt injection’ y por qué debería preocuparnos

El prompt injection es una técnica que permite manipular el comportamiento de una inteligencia artificial a través de instrucciones ocultas, diseñadas para alterar la tarea que debería realizar el modelo.

Existen dos tipos:

• Prompt injection directo: el usuario introduce directamente instrucciones que anulan o modifican los comandos originales del sistema.
• Prompt injection indirecto: ocurre cuando la IA procesa información externa (una web, un documento, una imagen), y en ese contenido se ocultan instrucciones que el modelo interpreta como parte legítima de su tarea.

El segundo es especialmente peligroso porque no depende de la intervención directa del usuario. Puede suceder sin que te des cuenta, simplemente navegando.

Esto plantea una amenaza a tres niveles:

• Confidencialidad: la IA podría extraer y divulgar información privada.
• Integridad: podría alterar resultados, informes o análisis.
• Disponibilidad: puede hacer que el sistema se bloquee o deje de responder de forma fiable.

El caso de Atlas y Comet: promesas útiles con grietas visibles

El navegador Atlas de OpenAI, al igual que Comet de Perplexity, integra un agente de IA que interactúa con las páginas web que el usuario visita. Puede leerlas, resumirlas o realizar tareas derivadas del contenido. El problema es que también puede obedecer instrucciones embebidas en esas mismas páginas.

Pruebas realizadas por investigadores de seguridad, como Avram Piltch y Johann Rehberger, han demostrado que basta con insertar una línea de texto invisible o disfrazada dentro de una web para que la IA actúe de forma inesperada. Desde cambiar la apariencia del navegador hasta intentar acceder al contenido del correo electrónico.

Esto ocurre porque el modelo de IA no siempre distingue entre lo que debe analizar y lo que debe obedecer. Si el sistema interpreta que una instrucción forma parte de la tarea, puede ejecutarla, incluso si es maliciosa.

OpenAI ha reconocido el problema y ha intentado mitigarlo mediante entrenamiento del modelo para ignorar instrucciones maliciosas, implementación de filtros y modos de sesión más seguros. Pero el propio Dane Stuckey, jefe de seguridad de la empresa, admite que no existe aún una solución definitiva.

Por qué el prompt injection es un problema estructural y no solo una vulnerabilidad pasajera

El principal riesgo del prompt injection es que no se trata de un fallo puntual, sino de una consecuencia natural de cómo funcionan los modelos de lenguaje grandes (LLMs). Estos sistemas están diseñados para seguir instrucciones y completar tareas de acuerdo con el prompt que reciben. Si ese prompt incluye texto camuflado con una orden, el modelo no tiene forma infalible de distinguirlo.

Johann Rehberger, que lleva tiempo documentando estos ataques, lo resume así para AP: «Es como la ingeniería social, pero contra máquinas. No puedes evitar que una IA lea y actúe sobre información que interpreta como legítima».

Además, estos ataques no requieren acceso físico ni habilidades técnicas avanzadas. Solo se necesita que un usuario abra una web con contenido malicioso y que la IA esté activa. El hecho de que este tipo de amenaza pueda ejecutarse sin que el usuario lo sepa lo convierte en un riesgo serio para empresas, periodistas, desarrolladores y cualquier persona que confíe en la IA para procesar información sensible.

Cómo protegerte como usuario: buenas prácticas y límites claros

Aunque aún no existen soluciones absolutas contra el prompt injection, hay algunas medidas que puedes tomar como usuario para reducir el riesgo.

• Evita activar el agente de IA en webs desconocidas o sospechosas. Usa la función manualmente y desactívala cuando no sea necesaria.
• No confíes ciegamente en los resúmenes o respuestas generadas por la IA en páginas web externas. Verifica por ti mismo la información si es crítica.
• Desactiva el modo de sesión completa (logged-in) si no necesitas que la IA acceda a tus herramientas o cuentas conectadas.
• Lee los permisos y configuración de privacidad del navegador IA. Atlas, por ejemplo, permite elegir niveles de acceso según el uso.
• Aplica la máxima de los investigadores: «Confía en nadie, tampoco en tu IA». El pensamiento crítico sigue siendo la mejor defensa.

La frontera entre comodidad y control está cada vez más borrosa

La aparición de navegadores como Atlas o Comet marca una evolución inevitable: los navegadores ya no son solo puertas a la información, ahora también son asistentes autónomos. Pero como en toda herramienta poderosa, la autonomía implica riesgo.

El prompt injection no es solo un fallo técnico. Es una grieta conceptual en la forma en la que diseñamos interacciones entre humanos, contenido y máquinas inteligentes. Igual que un empleado puede caer en una trampa de phishing por confiar en un correo, una IA puede caer en un prompt malicioso por confiar en una frase incrustada.

Aún estamos en las primeras fases de esta transición hacia navegadores con IA. La línea entre utilidad y exposición es tenue, y el reto es diseñar sistemas que no solo sean funcionales, sino también seguros, auditables y previsibles.