Probador de inyección de prompt
Genera un conjunto etiquetado de casos de prueba de inyección para tu propio modelo y analiza tu prompt de sistema en busca de patrones débiles, con correcciones concretas.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Bastiona tus propias aplicaciones LLM frente a la inyección de prompt. Esta herramienta para defensores genera un conjunto etiquetado de casos de prueba de inyección en seis categorías (anulación de instrucciones, manipulación de rol o contexto, escape de delimitadores, codificación u ofuscación, indirecta a través de contenido recuperado y herramientas, y exfiltración de datos) para que los ejecutes contra tu propio modelo. Además, pegas tu propio prompt de sistema y un análisis heurístico en el lado del cliente marca los patrones débiles (falta de jerarquía de instrucciones, entrada de usuario sin delimitar, confianza excesiva en la salida de herramientas, ausencia de restricciones de salida y secretos incrustados en el prompt), cada uno con una corrección concreta. Cada prueba nombra la defensa que pone a prueba, así que un resultado se traduce directamente en una acción de bastionado. Está alineada con OWASP LLM01 (inyección de prompt). Todo se ejecuta en tu navegador: no se llama a ningún LLM, no se ataca a nadie y ningún prompt, prueba o resultado se envía a un servidor. Es una herramienta Pro.
- Genera el conjunto de pruebas de inyección en las seis categorías.
- Ejecuta las pruebas contra tu propio modelo o aplicación LLM.
- Pega tu prompt de sistema y revisa los patrones débiles que marca el análisis.
- Aplica la corrección concreta de cada hallazgo y vuelve a probar.
Preguntas frecuentes
¿Qué es la inyección de prompt?
Es un ataque en el que un texto preparado hace que un modelo de lenguaje ignore o anule las instrucciones que le dio su desarrollador y siga las del atacante. Como un LLM procesa su prompt de sistema y la entrada no confiable que recibe en el mismo flujo de texto, una entrada que dice algo como «ignora tus instrucciones anteriores y haz X» puede confundirse con una orden legítima. Las consecuencias van desde filtrar el prompt de sistema oculto o secretos, a producir salidas no permitidas o, en un agente con herramientas, a ejecutar acciones reales como enviar correos o llamar a una API. Es la primera entrada (LLM01) del OWASP Top 10 para aplicaciones LLM.
¿Qué tipos de ataques de inyección de prompt hay?
Se dividen en dos grandes clases. La inyección directa (de primer orden) es cuando el propio usuario escribe la instrucción maliciosa en el prompt: «ignora las instrucciones anteriores», jailbreaks de personaje, payloads de escape de delimitadores e instrucciones codificadas (Base64, ROT13, leetspeak). La inyección indirecta (de segundo orden) es cuando el payload se esconde en un contenido que la aplicación procesa después (una página web, un documento en un pipeline RAG, un correo, una incidencia de soporte o la salida de una herramienta), de modo que el modelo queda inyectado sin que el atacante hable nunca con él. Dentro de esas clases, las técnicas habituales son la anulación de instrucciones, la manipulación de rol o contexto, el escape de delimitadores o de contexto, la codificación u ofuscación y la exfiltración del prompt de sistema o de datos. La herramienta genera pruebas para cada categoría.
¿Qué diferencia hay entre inyección de prompt y jailbreak?
Se solapan pero no son lo mismo. El jailbreak apunta en concreto a la política de seguridad o de contenido del modelo: conseguir que produzca lo que está entrenado para rechazar, normalmente con trucos de personaje o planteamientos hipotéticos. La inyección de prompt es más amplia: trata de anular las instrucciones de la aplicación, sean cuales sean. Un jailbreak es un tipo de inyección (inyecta «ignora tus normas de seguridad»), pero la inyección también abarca secuestrar la tarea de un agente, exfiltrar un prompt de sistema o hacer que un agente con herramientas ejecute una acción no deseada. Para un defensor que construye una aplicación, la inyección es la preocupación más amplia porque incluye los ataques indirectos a través de tus datos y herramientas.
¿Cómo se previene la inyección de prompt?
No hay una única solución; la defensa es por capas. Establece una jerarquía de instrucciones clara y dile al modelo que las instrucciones del sistema siempre prevalecen sobre el contenido del usuario y el recuperado. Delimita la entrada no confiable con marcadores difíciles de falsificar e indica que todo lo que hay dentro son datos, no órdenes. Trata toda salida de herramientas y documento recuperado como no confiables: nunca dejes que su texto dé instrucciones. Restringe la salida y prohíbe revelar el prompt o los secretos. Aplica mínimo privilegio a las herramientas y exige confirmación humana antes de cualquier acción irreversible o visible desde fuera. Filtra y valida la salida, y deja los secretos fuera del prompt para que no haya nada que exfiltrar. Por último, prueba de forma continua con un conjunto de pruebas, que es para lo que sirve el generador de esta herramienta.
¿La herramienta llama a un modelo de IA o envía mi prompt a algún sitio?
No. Funciona al 100 % en el lado del cliente. La biblioteca de pruebas es un conjunto estático e integrado de plantillas de red team benignas, y el analizador de debilidades es una pasada heurística local sobre el texto que pegas. No se invoca ningún LLM, no se ejecuta ninguna prueba y nada (tu prompt de sistema, el conjunto generado ni los resultados del análisis) sale de tu navegador. Está pensada para bastionar sistemas que te pertenecen o que tienes autorización para probar; no da instrucciones para atacar sistemas de terceros.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.