La inyección de instrucciones ocurre cuando un contenido que la IA debe leer intenta redirigir su comportamiento. En un flujo documental, puede aparecer en un anexo de proveedor o una página recuperada. El riesgo aumenta cuando el mismo sistema puede enviar información, modificar registros o utilizar herramientas empresariales.
La investigación de Anthropic de noviembre de 2025 sobre inyección en navegadores describe defensas por capas y reconoce que el problema sigue abierto. Para las empresas, la lección útil es controlar las consecuencias y mejorar el reconocimiento de contenidos sospechosos.
Tratar el contenido recuperado como evidencia
La tarea autorizada por el usuario y los documentos que la respaldan tienen funciones diferentes. Una factura puede aportar un importe y una referencia de cuenta. Su texto no debería adquirir autoridad para cambiar los permisos del flujo ni redirigir un pago.
Mantén visible la procedencia de los pasajes recuperados. Si se mezclan instrucciones y evidencia sin límites claros, también será más difícil para los revisores entender por qué se propuso una acción.
Limitar qué puede hacer un paso comprometido
Una extracción suele necesitar leer un documento y devolver campos estructurados. Eso no implica permiso para enviar el archivo por correo ni modificar al proveedor. Separa esas acciones y aplica los permisos fuera del modelo.
En un ejemplo ilustrativo de facturas, un cambio de cuenta bancaria debe activar un proceso verificado, en vez de actualizar el registro inmediatamente. Vincula la aprobación con la cuenta y la acción exactas para evitar que una autorización anterior permita silenciosamente otro cambio.
Probar las acciones además del texto
Crea ejemplos adversarios en un entorno controlado. Incluye un documento que intente sustituir instrucciones, solicitar información ajena a la tarea o ejecutar una acción no autorizada. El comportamiento esperado debe especificar la respuesta y las acciones que no deben ocurrir.
Comprueba si un intento bloqueado deja datos sensibles en registros o resúmenes. Un flujo puede rechazar la acción y revelar información mediante otra salida. Añade estos casos a la colección de evaluación empresarial.
Planificar contención y recuperación
Registra las llamadas a herramientas con contexto suficiente para investigar abusos, evitando recopilar información sensible innecesaria. Define cómo revocar el acceso, detener un flujo e identificar los registros afectados por una acción incorrecta.
Utiliza controles de integración MCP al conectar herramientas y repite las evaluaciones cuando cambien modelos, instrucciones o fuentes. Un modelo más capaz no sustituye los controles de acceso y un plan de respuesta.
Empezar por un flujo limitado
Identifica las fuentes, las salidas permitidas y las herramientas de un proceso. Comenta la automatización documental con NextBrain AI y determina qué pasos deben seguir siendo de solo lectura antes de habilitar acciones automatizadas.