Una nueva amenaza para los sistemas de inteligencia artificial ha sido detectada por expertos en ciberseguridad. Se trata de PuzzleMask, una técnica de inyección de indicaciones (prompt injection) que permite ocultar órdenes maliciosas dentro de textos que aparentan ser completamente normales, logrando así burlar los controles de seguridad perimetrales en arquitecturas de IA.
La particularidad de este método radica en que los atacantes ya no necesitan emplear señales evidentes como codificación Base64, caracteres invisibles, emojis u otros formatos poco comunes, que eran habituales hasta ahora. Esto hace que PuzzleMask sea especialmente peligroso para entornos corporativos donde se usan asistentes, agentes y copilotos basados en inteligencia artificial.
Descubrimiento y pruebas realizadas
El hallazgo fue realizado por la división de Inteligencia de Amenazas de Check Point Software Technologies. Los investigadores sometieron a prueba cuatro de los modelos de filtrado previo más conocidos: Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard y Llama-Guard3.
En un total de 23 ensayos, ninguno de estos modelos logró detectar las cargas maliciosas ocultas mediante PuzzleMask. Según detalló la compañía en un comunicado, la técnica alcanzó una tasa de éxito del 100% en la evasión de los filtros perimetrales.
Además, los investigadores enviaron las peticiones con instrucciones ocultas al modelo de destino. Los resultados mostraron que el modelo final recuperó correctamente las órdenes en 17 de las 18 pruebas, lo que representa un 94% de efectividad.
Un ‘punto ciego crítico’ en las arquitecturas de seguridad
Desde Check Point han calificado estos hallazgos como un «punto ciego crítico» en las arquitecturas de seguridad que dependen de modelos ligeros para la revisión previa de las solicitudes. Estos modelos de inspección rápida están diseñados para evaluar la seguridad de las peticiones antes de enviarlas a sistemas más potentes. Suelen ser muy eficaces contra ataques directos, pero «al enmascarar los comandos dentro de una estructura gramática natural y fluida, los filtros no identifican anomalías», permitiendo que las instrucciones lleguen al modelo de destino.
Los expertos advierten que esta vulnerabilidad afecta directamente a las arquitecturas de tipo «guardián a destino» (gatekeeper-to-target), muy utilizadas en la industria para optimizar recursos y proteger entornos empresariales. La brecha entre el filtro rápido y el modelo final representa, según los investigadores, «una superficie de ciberataque que no requiere técnicas de evasión complejas ni la vulneración de las políticas internas del modelo final», lo que convierte a PuzzleMask en un método sencillo para actores maliciosos.
Recomendaciones para las organizaciones
La compañía señala que esta amenaza impacta principalmente a empresas que despliegan asistentes, agentes y copilotos con acceso a datos corporativos y flujos automatizados. Para mitigar el riesgo, los investigadores subrayan que un sistema de seguridad basado únicamente en examinar lo que entra a un sistema de IA resulta «insuficiente» ante vectores de ataque basados en lenguaje natural.
Entre las recomendaciones destacan:
- Auditar no solo la solicitud inicial, sino también cómo razona, actúa y responde el modelo una vez aprobado el comando.
- Tratar los textos provenientes de sitios web, correos electrónicos o documentos externos que se peguen en entornos de IA con la misma cautela que archivos adjuntos o enlaces sospechosos.
- Utilizar técnicas de parafraseado de las entradas para disolver mensajes ocultos.
- Endurecer las políticas en los modelos de filtrado.
El director de investigación en Check Point Research, Eli Smadja, valoró la situación con estas palabras:
«A medida que las empresas integran sistemas de IA con acceso a datos y aplicaciones de negocio, la estrategia de seguridad debe evolucionar. Es imprescindible adoptar un enfoque preventivo que combine la inteligencia de amenazas, la gobernanza de la IA y la protección en tiempo de ejecución, moviendo el foco desde la simple inspección de entradas hacia la monitorización activa del comportamiento del agente.»
Check Point insiste en que las organizaciones deben fortalecer sus cortafuegos y sistemas de supervisión para hacer frente a este tipo de amenazas emergentes. La investigación demuestra que PuzzleMask representa una nueva y peligrosa vía de ataque que explota la confianza en modelos de filtrado aparentemente robustos.
Fuente: Infobae