Las «bombas de contexto» reducen el éxito de los agentes de IA hackers del 91% al 15%, según nueva investigación

Investigadores de seguridad de Tracebit probaron una técnica defensiva llamada «bombas de contexto» contra cinco modelos de IA de última generación que actuaban como agentes de hackeo autónomos, y descubrieron que plantar cadenas de texto cortas diseñadas para activar las propias barreras de seguridad del modelo dentro de credenciales señuelo redujo el porcentaje de ejecuciones que completaron cualquier ruta de ataque del 91% al 15%. Los resultados, publicados en dos rondas de investigación en 2026, son una de las primeras demostraciones concretas de convertir el propio entrenamiento de seguridad de un modelo en un arma defensiva contra sí mismo cuando se lo reutiliza como agente ofensivo.

Cómo funciona realmente una bomba de contexto

El montaje: 152 ejecuciones en cinco modelos — Opus 4.8 de Anthropic, Gemini 3.1 Pro de Google, GLM 5.2 de Zhipu AI, DeepSeek 4 Pro y Kimi K2.6 de Moonshot AI — operando dentro de un entorno corporativo de AWS simulado con diez rutas de ataque distintas disponibles mediante configuraciones erróneas deliberadas. Los investigadores plantaron una bomba de contexto, una cadena de texto corta y no código malicioso, dentro de un secreto señuelo, una variable de entorno o un registro DNS que el agente encontraría al explorar el entorno. Los canarios, los recursos señuelo que alertan a los defensores cuando se tocan, se activaron en todas las ejecuciones sin excepción, independientemente del resultado. Lo que cambió fue si el agente seguía adelante tras leer la bomba.

Las cifras, modelo por modelo

La escalada de privilegios de administrador cayó del 57% de las ejecuciones al 5%. El compromiso total, es decir, acceso de administrador más un punto de apoyo persistente, cayó del 36% al 1%. Opus 4.8, el modelo más capaz probado, alcanzó acceso total de administrador en el 93% de las ejecuciones base y en ninguna de las ejecuciones con bomba. Gemini 3.1 Pro pasó de una tasa de compromiso total del 60% a 0%. Kimi K2.6 fue el atacante más débil en general, pero también el menos disuadido por la bomba, un dato útil: la eficacia de la técnica depende de cuán fuerte fue ajustado el entrenamiento de seguridad de cada modelo, no de la sofisticación de su capacidad ofensiva.

Por qué funciona esto, y por qué no siempre lo hará

El mecanismo es específico, no una distracción genérica. Son cadenas que activan el comportamiento de rechazo entrenado mediante RLHF en el modelo. Los modelos occidentales se detuvieron de forma constante con contenido que hacía referencia a temas biológicos sensibles; los modelos a los que se accedía a través de proveedores chinos se detuvieron con contenido políticamente sensible en chino, lo que significa que la bomba debe adaptarse a la familia de modelos que el defensor espera enfrentar. Combinar la bomba con técnicas estándar de inyección de prompts, como lenguaje de urgencia o notas dirigidas directamente «al agente», aumentó su eficacia en entornos de prueba realistas.

Los investigadores fueron explícitos sobre los límites. Los modelos «ablitados», a los que se les han eliminado deliberadamente las barreras de seguridad, no fueron probados, y no hay razón para esperar que una bomba de contexto funcione contra uno de ellos, ya que todo el mecanismo depende de un comportamiento de rechazo intacto. El Centro Nacional de Ciberseguridad del Reino Unido advirtió en diciembre de 2025 que la inyección de prompts, la categoría más amplia en la que se basa esta técnica, quizá nunca se resuelva por completo, solo se vuelva menos probable o menos dañina. Una bomba de contexto es una mitigación, no una solución.

Qué deberían hacer realmente los equipos de seguridad con esto

Trate las bombas de contexto como una incorporación barata y acumulable a los programas existentes de canarios y honeytokens. Su despliegue cuesta casi nada, ya que no requiere infraestructura nueva, solo texto diseñado dentro de secretos señuelo, variables de entorno o registros DNS ya en uso.

Adapte el contenido de la bomba a las familias de modelos más propensas a atacar el entorno. Una bomba ajustada para modelos occidentales de última generación puede no hacer nada contra un modelo entrenado con prioridades de seguridad diferentes, como muestran los resultados de los modelos chinos.

No trate una bomba activada como un incidente resuelto. Es una ralentización y un disparador de detección, no una prueba de que el agente no intentará una ruta diferente con otra redacción o un modelo completamente distinto.

Vigile la tasa de alertas de canarios como el verdadero indicador adelantado, ya que se dispara en prácticamente todas las ejecuciones de las pruebas de Tracebit, sin importar si la bomba detuvo el ataque.

Presupueste el deterioro de esta defensa con el tiempo, ya que los proveedores de modelos entrenarán para eliminar los disparadores de rechazo específicos que publican los investigadores. Espere una carrera de armamentos similar a los ciclos de ejemplos adversarios vistos en otros dominios de seguridad de aprendizaje automático.