Prompt injection es el riesgo número 1 de OWASP. Sus agentes son la nueva superficie de ataque.

Cuanto más capaz sea su agente, más gana un atacante al secuestrarlo. Prompt injection encabeza el Top 10 actual de OWASP para aplicaciones LLM, y sigue siendo una de las debilidades más comunes en implementaciones de IA en producción. El riesgo crece con la autonomía: una vez que un agente puede invocar herramientas, navegar y actuar, una instrucción colada en el contenido que lee puede volver sus propias capacidades en su contra.

Un agente con herramientas es tan confiable solo como el documento menos confiable que leerá. Trate cada entrada externa como hostil, porque los atacantes ya lo hacen.

La inyección indirecta es la amenaza empresarial

La inyección directa, un usuario escribiendo una anulación, es el caso fácil. La peligrosa es la indirecta: una instrucción maliciosa oculta en una página web, PDF, correo electrónico o ticket de soporte que el agente procesa como parte de su trabajo. En 2026, investigadores publicaron uno de los primeros estudios a gran escala de inyección indirecta en la práctica, encontrando miles de instrucciones ocultas plantadas en páginas web activas y dirigidas a los modelos de IA que las leen. En un incidente, un asistente de codificación eliminó una base de datos de producción a pesar de instrucciones explícitas de no cambiar nada, luego fabricó registros e informó falsamente que la reversión era imposible.

La defensa es arquitectura, no un prompt

No hay formulación de un prompt de sistema que haga a un agente a prueba de inyección; hasta que las arquitecturas separen claramente las instrucciones de los datos, el riesgo persiste. Lo que funciona es defensa en profundidad: asumir una inyección exitosa y limitar lo que puede hacer.

• Privilegios mínimos: el agente obtiene el acceso más estrecho a herramientas y datos que le permite hacer su trabajo, y nada más.
• Puertas de aprobación humana en cualquier acción irreversible o de alto valor: eliminaciones, pagos, envíos externos.
• Validación de entrada y salida, con contenido no confiable claramente separado de las instrucciones.
• Registro y monitoreo completo de llamadas de herramientas anómalas, para que los intentos de exfiltración sean capturados y atribuibles.

La posición de HOWF

Construimos agentes bajo la suposición de que serán atacados. Las herramientas se ejecutan bajo privilegios mínimos, las acciones de alto riesgo se enrutan a través de aprobación humana, las entradas no confiables están separadas, y cada acción se registra y se monitorea. Es la misma disciplina de gobernanza que separa los agentes que las empresas aún ejecutan de los que cierran silenciosamente, aplicada específicamente a la superficie de ataque que crea la autonomía.