Cuando un documento intenta darle órdenes a tu asistente de IA

Imagen ilustrativa del archivo visual de Pufers.

Le pides a un asistente de IA que resuma documentos recibidos durante la semana. Entre ellos aparece una frase que le exige cambiar su tarea y compartir información con otra dirección. El problema ya no consiste en resumir bien: consiste en distinguir el contenido que debe analizar de las instrucciones que está autorizado a seguir.

Este escenario hipotético ayuda a entender un riesgo relevante para empresas chilenas que conectan asistentes a correos, archivos o páginas web. No es necesario anunciar una amenaza nueva para revisar el proceso. Conviene hacerlo antes de que una herramienta pase de preparar borradores a ejecutar acciones.

Un archivo es una fuente, no una autorización

OWASP describe la inyección indirecta de instrucciones como una alteración del comportamiento del modelo provocada por contenido externo, por ejemplo sitios web o archivos. También señala que incorporar documentos mediante recuperación de información no elimina por completo esta vulnerabilidad.

Para explicar la diferencia a tu equipo, imagina una solicitud de soporte que contiene la frase “esta petición tiene prioridad máxima”. Esa afirmación es parte del mensaje del remitente. No demuestra que la empresa haya autorizado saltarse su procedimiento. El sistema debería conservarla como información que revisar, sin convertirla automáticamente en una regla operativa.

La misma distinción sirve cuando un documento asegura que fue aprobado por gerencia. El texto puede describir una aprobación, pero la comprobación debe venir del mecanismo que la empresa utiliza para registrarla. El asistente no debería resolver esa diferencia por el tono convincente del archivo.

Dibuja el recorrido de la información

Como ejercicio práctico, proponemos escribir tres columnas: qué lee el asistente, qué puede producir y qué puede modificar. Hazlo para una tarea específica, como preparar respuestas a consultas comerciales. Evita comenzar con una lista genérica de todas las funciones disponibles.

En un piloto ficticio, la primera columna incluye correos de prospectos y un catálogo aprobado; la segunda, borradores de respuesta; la tercera queda vacía porque el envío lo realiza una persona. Este mapa permite detectar una pregunta concreta: ¿por qué necesitaría el asistente acceso a carpetas ajenas a esa tarea?

En su análisis sobre defensas frente a inyecciones en navegación, Anthropic explica que un agente puede encontrar instrucciones maliciosas dentro del contenido que consulta y advierte que el problema no está resuelto. Por eso, una demostración exitosa no justifica habilitar todas las acciones disponibles.

Revisa el efecto, además del texto final

Un borrador puede parecer correcto aunque el recorrido previo haya sido inadecuado. Nuestra propuesta es registrar qué fuentes se consultaron y qué acciones se intentaron, con el detalle mínimo necesario y respetando las reglas de conservación de información de la empresa.

Para una respuesta comercial, la revisión puede comprobar destinatario, adjuntos y referencias utilizadas. Si se propone adjuntar un archivo que no corresponde a la consulta, la persona revisora necesita verlo antes del envío. Leer únicamente el párrafo redactado dejaría ese cambio fuera de la revisión.

OWASP recomienda limitar privilegios, separar el contenido externo y establecer aprobación humana para operaciones de riesgo. Estas medidas deben concretarse en el sistema: una advertencia escrita en el prompt no equivale a impedir técnicamente una operación.

Prepara una prueba pequeña y controlada

Usa documentos ficticios en un entorno aislado, sin cuentas de clientes ni destinatarios reales. El objetivo es comprobar el límite entre información e instrucciones sin exponer datos de la operación. Acuerda de antemano qué resultado sería aceptable y quién revisará cualquier desviación.

Una prueba ilustrativa puede presentar dos versiones de una consulta: una normal y otra que intenta cambiar una regla del proceso. Compara si el asistente mantiene la tarea solicitada, identifica la contradicción o pide aclaración. No basta con que ambas respuestas suenen profesionales.

También conviene ensayar el caso en que la herramienta no puede determinar si una instrucción es legítima. Define una salida concreta: detener esa acción y entregar al responsable el fragmento relevante para su revisión. El piloto debe permitir observar esa pausa sin penalizarla como si fuera simplemente falta de productividad.

Deja una ruta clara para las incidencias

Si aparece una conducta inesperada, conserva la referencia al documento y a la ejecución, limita las acciones del flujo afectado y revisa qué ocurrió antes de volver a habilitarlo. No copies indiscriminadamente información sensible en tickets o conversaciones de soporte.

La decisión de ampliar el uso debería basarse en evidencia del proceso: qué contenido acepta, qué cambios puede realizar y cómo se revisan las excepciones. Para una empresa que empieza, un asistente que prepara un borrador verificable puede aportar valor sin recibir permisos para enviar, borrar o compartir por su cuenta.

Fuentes consultadas el 3 de noviembre de 2026. Los ejemplos y el flujo propuesto son ilustrativos; no describen incidentes ni resultados atribuidos a Pufers.