La división de ciberseguridad de la empresa tecnológica Check Point, Check Point Research, ha descubierto PuzzleMask, una técnica de inyección de prompts que permite ocultar instrucciones contrarias a las políticas de seguridad dentro de textos de apariencia convencional.
La técnica consigue sortear los filtros rápidos de entrada sin utilizar recursos habitualmente asociados a este tipo de ataques, como la codificación Base64, los caracteres invisibles, los emojis o los formatos poco habituales. El método se apoya, en cambio, en estructuras gramaticales naturales que permiten camuflar los comandos dentro del propio texto.
Durante las pruebas realizadas por los investigadores, PuzzleMask fue sometida a 23 ensayos con cuatro modelos de filtrado previo: Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard y Llama-Guard3. Ninguno detectó las cargas maliciosas ocultas, lo que se tradujo en una tasa de evasión del 100% en estos controles.
Cuando las peticiones fueron derivadas posteriormente al modelo de destino, descrito por Check Point Research como un modelo de razonamiento avanzado con capacidad de ejecución de código, este recuperó las instrucciones ocultas en 17 de las 18 pruebas, equivalente al 94%.
Los resultados apuntan a una debilidad en las arquitecturas que utilizan modelos ligeros para revisar las solicitudes antes de trasladarlas a sistemas con mayores capacidades. Según la investigación, estos filtros consiguen bloquear peticiones maliciosas directas, pero pueden dejar pasar los mismos comandos cuando aparecen integrados dentro de un texto natural.
La diferencia entre modelos abre una vía de ataque
Según informa la firma de ciberseguridad, este comportamiento afecta a las arquitecturas conocidas como gatekeeper-to-target, en las que un modelo realiza una primera revisión de seguridad antes de permitir el acceso a otro sistema encargado de procesar la petición.
La diferencia de capacidades entre ambos modelos puede convertirse así en una superficie de ataque. PuzzleMask no necesita vulnerar las políticas internas del modelo final, sino conseguir que las instrucciones ocultas superen el primer nivel de supervisión para que sean posteriormente interpretadas.
El riesgo adquiere especial relevancia para organizaciones que emplean asistentes, agentes o copilotos conectados a datos corporativos y procesos automatizados. La investigación sostiene que revisar únicamente la petición inicial puede resultar insuficiente y plantea extender los controles al comportamiento posterior del modelo.
Esto implica supervisar cómo responde el sistema y qué acciones ejecuta después de aceptar una instrucción, especialmente cuando dispone de acceso a información confidencial o puede ejecutar código. Los investigadores también recomiendan tratar con cautela los contenidos procedentes de páginas web, correos electrónicos y documentos externos que se incorporan a herramientas de IA.
“PuzzleMask demuestra que las instrucciones dañinas pueden camuflarse dentro de textos cotidianos sin activar las alertas de los controles diseñados para detectar manipulaciones evidentes. A medida que las empresas integran sistemas de IA con acceso a datos y aplicaciones de negocio, la estrategia de seguridad debe evolucionar”, señala Eli Smadja, director de investigación en Check Point Research.
El directivo añade que “es imprescindible adoptar un enfoque preventivo que combine la inteligencia de amenazas, la gobernanza de la IA y la protección en tiempo de ejecución, moviendo el foco desde la simple inspección de entradas hacia la monitorización activa del comportamiento del agente”.
Entre las posibles medidas para reducir este tipo de riesgos, la investigación recoge el parafraseado de las entradas de los usuarios para deshacer los mensajes ocultos, el refuerzo de las políticas aplicadas por los modelos de filtrado y la supervisión continuada de las respuestas y acciones realizadas por los sistemas de inteligencia artificial.
