Laboratorio de inyección de prompt y envenenamiento del harness de agentes
Haz el triaje de la inyección de prompt contra agentes de IA: vector, si queda contenida o surte efecto, y la mejor defensa.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El contenido no confiable llega constantemente a tu agente: el resultado de una herramienta, un documento o una página web recuperados, un archivo, el mensaje de un subagente o una memoria o «lección» persistida, y parte de él lleva instrucciones ocultas. En cada escenario de este laboratorio del lado defensor decides por dónde entró la inyección (el vector), si los controles descritos la contienen o si surte efecto, y la única defensa que de verdad encaja: tratar el contenido como datos y no como instrucciones (OWASP LLM01), mediar la salida antes de que algo la renderice (LLM02) y limitar las herramientas al mínimo privilegio con una puerta humana antes de las acciones privilegiadas (LLM08). En un harness que se mejora a sí mismo (Harness² de Google Cloud AI Research, arXiv 2610.14224), una inyección que surte efecto puede escribir una lección envenenada duradera, así que lo que dejas persistir al harness es lo que más importa. ISO/IEC 27090 enmarca estas amenazas específicas de la IA. Los ataques se describen de forma abstracta, sin cadenas de inyección funcionales, sin payloads y sin CVE inventados. Incluye una cola de escenarios, un mapa de vector por radio de impacto, niveles de dificultad, bono por velocidad y notas de la S a la D. Es un laboratorio Pro.
- Lee el escenario: qué contenido no confiable llegó al agente y qué controles había.
- Elige el vector de inyección: resultado de herramienta, documento recuperado, archivo, mensaje de subagente o lección persistida.
- Decide si la inyección queda contenida o surte efecto con los controles descritos.
- Elige la mejor defensa y revisa el mapa de vector por radio de impacto; no reacciones de más ante el caso ya contenido.
Preguntas frecuentes
¿Qué enseña este laboratorio?
Enseña a hacer el triaje de la inyección de prompt contra agentes de IA desde el lado del defensor. En cada escenario decides por dónde entró la instrucción no confiable (el vector: un resultado de herramienta, un documento recuperado, un archivo, el mensaje de un subagente o una memoria persistida), si los controles descritos la contienen o la dejan surtir efecto, y qué defensa encaja de verdad. La habilidad central es ajustar el control al vector y al radio de impacto: tratar el contenido no confiable como datos, acotar las herramientas para que una inyección que surte efecto no pueda actuar, mediar la salida y, en los harness que se mejoran a sí mismos, no persistir nunca una lección sin verificar.
¿Contiene payloads de inyección reales?
No. Cada ataque se describe de forma abstracta y desde la perspectiva del defensor: el escenario te dice que un contenido no confiable llevaba instrucciones ocultas y cómo lo manejó el agente, nunca la cadena funcional. El laboratorio es un ejercicio de decisión sobre vectores, resultados y defensas, no un manual. Cita los estándares que hay detrás de cada decisión (OWASP LLM01 inyección de prompt, LLM02 manejo inseguro de la salida, LLM08 exceso de agencia e ISO/IEC 27090 para las amenazas específicas de la IA) y no inventa números de CVE.
¿Qué es el envenenamiento del harness y la referencia a Harness²?
Un harness de agente que se mejora a sí mismo puede escribir «lecciones» en una memoria duradera y recargarlas en ejecuciones posteriores. El trabajo Harness² de Google Cloud AI Research (arXiv 2610.14224) describe cómo una sola inyección exitosa puede quedar capturada como una lección envenenada duradera que después dirige ejecuciones futuras sin relación, convirtiendo un compromiso puntual en uno persistente. Los controles del defensor son limitar lo que el harness puede persistir (no escribir una lección sin verificar) y mantener la procedencia de cualquier edición adoptada para poder rastrear y revocar un cambio envenenado.
¿Por qué hay que elegir una defensa por escenario en lugar de una regla general?
Porque la palanca correcta depende del vector y del radio de impacto. Tratar el contenido como datos (LLM01) detiene la mayoría de las inyecciones en la frontera, pero una inyección que surte efecto sigue necesitando herramientas de mínimo privilegio y una puerta humana antes de las acciones privilegiadas (LLM08) para que no tenga adónde ir; la salida que fluye a otro sistema necesita mediación (LLM02); y un harness que se mejora a sí mismo necesita limitar la persistencia y mantener la procedencia. El laboratorio también incluye un caso que ya está correctamente contenido: reconocerlo y no reaccionar de más también forma parte del triaje.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.