Un análisis realizado por los equipos de inteligencia de amenazas de Google concluyó que la inyección indirecta de instrucciones ha comenzado a aparecer en contenido web público como una actividad experimental por parte de atacantes y propietarios de sitios, pero la mayoría de los casos detectados hasta ahora presentaban una complejidad limitada y no mostraban una dependencia generalizada de técnicas avanzadas. No obstante, Google registró un aumento del 32 % en las detecciones de la categoría maliciosa entre noviembre de 2025 y febrero de 2026, una tendencia que considera un indicador del creciente interés por este tipo de ataques.
Google publicó este análisis en su blog de seguridad, y en su elaboración participaron Thomas Brunner, Yu-Han Liu y Moni Pande. La investigación se centra en una pregunta práctica: ¿están aprovechando actualmente los atacantes del mundo real la inyección indirecta de instrucciones y qué resultados buscan conseguir?
¿Cómo funciona la inyección indirecta de instrucciones?
Este método se diferencia de la inyección directa, en la que el usuario intenta eludir las restricciones del chatbot mediante lo que se conoce como ruptura de barreras o jailbreak. En la inyección indirecta, el sistema de inteligencia artificial procesa contenido externo, como una página web, un correo electrónico o un documento, que contiene instrucciones maliciosas. Si el sistema trata esas instrucciones como órdenes, puede ejecutarlas silenciosamente en lugar de atenerse al objetivo original del usuario.
Google considera esta amenaza un eje de colaboración entre los investigadores de Google DeepMind y los defensores de Google Threat Intelligence Group. El riesgo adquiere especial importancia a medida que se amplía el uso de agentes de inteligencia artificial capaces de navegar por sitios web, procesar documentos y realizar acciones en nombre del usuario.
El análisis de Common Crawl y el problema de los falsos positivos
Google eligió la web pública como un canal relativamente fácil de supervisar, ya que los atacantes pueden insertar textos de instrucciones en sitios que esperan que lean los sistemas de inteligencia artificial. Para facilitar el acceso y la reproducibilidad, la empresa utilizó Common Crawl, un gran repositorio de páginas web recopiladas de la web en inglés. El repositorio ofrece instantáneas mensuales que incluyen aproximadamente entre 2.000 y 3.000 millones de páginas.
Estos datos están compuestos en su mayoría por sitios estáticos, incluidos blogs, foros, comentarios y contenido publicado por los propios usuarios. Sin embargo, no incluyen la mayoría de las plataformas de redes sociales, como LinkedIn, Facebook y X, porque Common Crawl omite los sitios que exigen iniciar sesión o utilizan directivas que impiden el rastreo. Por ello, Google afirmó que el estudio de la actividad de inyección de instrucciones en las redes sociales se realizará como parte de una investigación separada.
El análisis se enfrentó a un problema importante: los falsos positivos. Los experimentos iniciales encontraron grandes cantidades de textos de inyección de instrucciones no dañinos, especialmente en artículos de investigación, materiales educativos y artículos de ciberseguridad que analizan estos ataques. Para reducir la confusión, Google siguió un proceso de filtrado gradual:
- Coincidencia de patrones: buscar primero páginas que contuvieran indicadores comunes, como frases del tipo «ignora las instrucciones» o «si eres un sistema de inteligencia artificial».
- Clasificación mediante un modelo de lenguaje grande: procesar los resultados candidatos con Gemini para determinar la intención del texto y comprobar si era coherente con el tema del documento o parecía ajeno y sospechoso.
- Verificación humana: realizar una revisión manual final de los resultados clasificados con el objetivo de aumentar el nivel de confianza en las conclusiones.
Google explicó que esta metodología no es exhaustiva y puede pasar por alto patrones inusuales, pero ofrece un punto de partida para comprender la naturaleza de la inyección de instrucciones que existe realmente en la web.
¿Qué objetivos detectó Google?
Los casos encontrados en el análisis variaban entre experimentos inofensivos e intentos con objetivos maliciosos. Algunos propietarios de sitios utilizaron instrucciones ocultas para cambiar el tono del asistente que lee el sitio, mientras que otros intentaron orientar los resúmenes de inteligencia artificial para añadir contexto que consideraban útil para los lectores. Google considera que estos casos no son dañinos mientras no impidan el resumen ni intenten engañar al usuario, pero pueden volverse maliciosos si incluyen información falsa o conducen al usuario a sitios externos.
El análisis también detectó el uso de la inyección de instrucciones para mejorar la visibilidad en los motores de búsqueda, ya que algunos sitios intentan impulsar a los asistentes a promocionar sus negocios a costa de otros sitios. Junto a los ejemplos sencillos aparecieron intentos más complejos que, según Google, parecían haber sido creados por herramientas automatizadas de optimización para motores de búsqueda y posteriormente insertados en los textos de los sitios.
En otros casos, las instrucciones se utilizaron para impedir que los agentes de inteligencia artificial recuperaran el contenido del sitio. Los ejemplos no se limitaban a una frase directa como «si eres una inteligencia artificial, no rastrees este sitio», sino que incluían un intento de atraer al lector automático a una página que transmite una cantidad infinita de textos y nunca termina de cargarse, lo que podría desperdiciar recursos o provocar errores de tiempo de espera durante el procesamiento.
En cuanto a los casos maliciosos, incluían un pequeño número de intentos de robo de datos. Sin embargo, Google afirmó que su nivel de complejidad era bajo y no detectó grandes cantidades de ataques avanzados, incluidas algunas indicaciones conocidas de extracción de datos publicadas por investigadores de seguridad en 2025. También encontró sitios que intentaban sabotear el dispositivo del usuario del asistente, ya que algunas instrucciones, si se ejecutaban, trataban de borrar todos los archivos presentes en el dispositivo. Google consideró poco probable que estos ejemplos tuvieran éxito debido a su simplicidad.
Tendencia ascendente pese a la limitada complejidad
Los resultados de Google indican que la actividad observada no demuestra que los ataques de inyección indirecta de instrucciones se hayan convertido en una práctica productiva a gran escala, ya que muchos casos parecían proceder de personas que realizaban experimentos o gastaban bromas. Sin embargo, el aumento del 32 % en la categoría maliciosa entre noviembre de 2025 y febrero de 2026, tras repetir el análisis en varias versiones del archivo, apunta a un interés creciente.
Google vincula la posible escalada de la amenaza con un cambio en los cálculos de coste y beneficio. En el pasado, estos ataques eran difíciles de ejecutar y los sistemas comprometidos tampoco realizaban las acciones maliciosas de forma fiable. Hoy, los sistemas de inteligencia artificial son más capaces, lo que aumenta su valor como objetivos, mientras que los atacantes han empezado a utilizar inteligencia artificial agencial para automatizar sus operaciones y reducir el coste del ataque. En consecuencia, Google prevé que el volumen y la complejidad de los intentos de inyección de instrucciones aumenten en un futuro próximo.
Por su parte, Google afirmó que continúa reforzando sus modelos y productos de inteligencia artificial, y que utiliza equipos de pruebas ofensivas para evaluar la capacidad de Gemini de resistir la manipulación adversarial. Además, el programa de recompensas por el descubrimiento de vulnerabilidades de inteligencia artificial permite a investigadores externos participar en estos esfuerzos. La empresa confirmó que seguirá compartiendo información con la comunidad de seguridad, reconociendo que el análisis actual no cubre las plataformas sociales ni representa una imagen completa de todas las actividades de amenaza.