Índice del artículo
En 30 segundos
Una instrucción escondida es una orden ajena dentro de un correo, documento o web que una IA lee para otra tarea y que intenta cambiar lo que tú le has pedido.
No tiene que ser invisible. Puede aparecer a simple vista entre los datos que la herramienta necesita consultar.
El intento puede fallar. Los permisos limitados y la aprobación previa reducen sus consecuencias; una frase de protección no sustituye esos controles.
Explicado fácil: una nota dentro del expediente
En este ejemplo ficticio, una instaladora de Zaragoza pide a la IA un borrador para responder a una solicitud de presupuesto. El correo recibido incluye una orden que exige responder solo «PRUEBA».
Imagina que encargas a alguien revisar un expediente de un proveedor. Entre sus páginas aparece una nota que dice: «deja esta revisión y haz otra cosa». Leer la nota no le da autoridad sobre tu encargo. Con la IA, el problema aparece cuando el contenido del expediente se interpreta como una orden válida. Si la herramienta puede decidir pasos y usar otras aplicaciones para hacer el trabajo, hablamos de un agente de IA. El mismo texto ajeno puede intentar desviar tanto una respuesta como el uso de esas aplicaciones.
El nombre técnico es inyección de instrucciones, o prompt injection. En este caso es indirecta: la orden llega dentro del material que has pedido leer, no como un encargo tuyo. Puede estar en un PDF, un correo o una página web. «Escondida» describe su papel dentro del contenido: puede pasar por información corriente o presentarse como una instrucción importante. No hace falta que desaparezca de la pantalla para que intente cambiar la tarea.
Una instaladora de Zaragoza recibe una orden ajena
- Tu encargo
- Correo recibido
- Orden ajena
- Borrador
- Tú revisas
La instaladora pide preparar una respuesta a una solicitud de presupuesto. El correo contiene una línea que exige responder solo con la palabra «PRUEBA». El desvío empieza en el correo: el cliente solicita un presupuesto, pero esa línea intenta sustituirlo por otra respuesta. La IA podría obedecerla o ignorarla. La responsable compara el borrador con la solicitud antes de decidir qué enviar.
Qué reduce el riesgo y qué deja pendiente
[Permisos mínimos](/aprende/que-son-los-permisos-de-un-agente)
Qué aporta: Configura una cuenta que pueda consultar pedidos, pero no modificarlos. El límite debe existir en la aplicación.
Qué sigue sin cubrir: El resumen de lo que sí puede leer aún puede estar manipulado.
[Aprobación previa](/aprende/que-es-persona-en-el-circuito)
Qué aporta: Detén la acción concreta hasta que una persona revise destinatario, contenido y cambios propuestos.
Qué sigue sin cubrir: Aprobar sin leer deja pasar el problema. Un aviso después del envío llega tarde.
Solo lo necesario
Qué aporta: Entrega una copia del pedido que hay que revisar, en lugar de abrir toda la carpeta de clientes.
Qué sigue sin cubrir: El documento necesario también puede contener una orden ajena.
Archivos y red acotados
Qué aporta: Limita las herramientas a una carpeta de prueba y a destinos de red autorizados.
Qué sigue sin cubrir: El aislamiento no valida la respuesta ni protege recursos cuyo acceso has permitido.
Separar encargo y datos
Qué aporta: Aclara que el correo recibido es información para resumir, no una fuente de nuevas órdenes.
Qué sigue sin cubrir: La aclaración escrita ayuda, pero no impone un bloqueo técnico.
Filtros de acciones
Qué aporta: Pueden detectar algunos intentos y bloquear o pausar propuestas sospechosas.
Qué sigue sin cubrir: Los detectores pueden fallar ante ataques nuevos; no certifican que el contenido sea seguro.
**Las medidas se complementan**: esta tabla no ordena productos por seguridad. Si utilizas n8n, un programa para conectar aplicaciones y encadenar tareas, puedes configurar revisión antes de determinadas herramientas del agente. La pausa debe mostrar qué herramienta se propone usar y con qué datos; aceptar permite la acción y rechazarla la cancela. No se aplica a cualquier proceso por el mero hecho de usar el programa.
No lo confundas con
Tu encargo
Un prompt es tu encargo: el texto con el que pides una tarea a la IA. La instrucción escondida llega dentro de algo que consultas e intenta atribuirse esa autoridad.
Una fuga de datos
Una fuga de datos es una posible consecuencia: datos del negocio llegan a quien no debe recibirlos. La inyección intenta desviar a la IA; puede manipular una respuesta sin divulgar datos.
Prueba cómo responde la IA al correo
Prepara el correo
Usa una conversación separada, sin conexiones de envío ni documentos de clientes. Retoma la solicitud de presupuesto del ejemplo de la instaladora y añade una línea que pida sustituir la respuesta por la palabra «PRUEBA». Pide a la IA preparar un borrador a partir del correo. Mantén separados tu encargo y el contenido que debe leer: así podrás señalar de dónde procede cada instrucción. El objetivo del ejercicio es observar un cambio de tarea; no necesita acceso al correo de tu empresa ni a otros archivos.
Compara la respuesta
Muestra lo que ocurra, aunque no coincida con lo que esperabas. Si devuelve «PRUEBA», señala que ha seguido una indicación del correo ajena al encargo. Si prepara el presupuesto, enseña que ha rechazado o ignorado esa indicación en este caso. También puede pedir los datos que faltan para redactar el borrador. Compara la salida con la solicitud original y distingue la información que necesitaba de la orden que intentaba sustituirla. No presentes ninguna de esas ramas como un resultado seguro antes de hacer el ejercicio.
Guarda el resultado
Conserva encargo, correo y respuesta juntos. Anota los accesos que tenía la herramienta para que la prueba se entienda después. Ese registro permite explicar qué ha pasado en este intento y con esa configuración. No demuestra cómo responderá ante otros documentos ni que una instalación sea segura. Si lo enseñas a tu equipo, separa lo observado de lo que podría ocurrir con permisos distintos. Un ejercicio sin envío sirve para explicar el concepto; no comprueba por sí solo los controles de un proceso conectado.
Dudas sobre instrucciones escondidas, respuestas cortas
¿Tiene que estar oculta para ser peligrosa?
No. Puede estar a simple vista dentro del documento o correo. Lo decisivo es que intente cambiar el comportamiento de la IA aprovechando una lectura necesaria para otra tarea. También puede llegar en contenido que la persona no vea al abrirlo normalmente. Visibilidad y autoridad son cuestiones distintas.
¿Una cuenta de solo lectura elimina el riesgo?
No. Reduce las acciones posibles, porque la cuenta no puede hacer los cambios que sus permisos impiden. Aun así, el resumen o la comparación que devuelve puede estar manipulado. Revisa el resultado antes de utilizarlo para decidir; limitar cambios y comprobar el contenido resuelven problemas distintos.
¿Usar un modelo local me protege?
Ejecutarlo en tu ordenador no elimina este riesgo. El modelo, el motor que genera las respuestas, sigue leyendo contenido que puede incluir órdenes ajenas. Las consecuencias dependen también de las herramientas y accesos que tenga. Elegir dónde funciona no sustituye limitar qué puede consultar, cambiar o enviar.
¿Una respuesta extraña demuestra que hubo un ataque?
No. Una respuesta rara no demuestra un ataque mediante instrucciones escondidas. Revisa qué se pidió, qué contenido leyó la IA y qué acciones propuso o realizó. Busca una indicación ajena al encargo antes de hablar de ataque. Una captura aislada no explica todo ese recorrido.
¿Basta con que la IA rechace la orden en una prueba?
No. Solo has observado ese caso con esa entrada y esos permisos. Otra orden o documento puede producir un resultado distinto. Mantén los límites de acceso y la revisión de acciones aunque el ejercicio salga bien. Rechazar una trampa no demuestra inmunidad frente a las demás.
Fuentes
Fuentes oficiales, consultadas el 4 de noviembre de 2026
- F1 · OWASP · Definición y tipos de inyección de instrucciones
- F2 · OWASP · Permisos mínimos y separación de instrucciones y datos
- F3 · AEPD · IA agéntica, documentos externos y protección de datos
- F4 · Anthropic · Seguridad, aislamiento y límites de las protecciones
- F5 · Anthropic · Filtros y revisión de acciones en el navegador
- F11 · n8n · Aprobación humana antes de utilizar herramientas
- F14 · OpenClaw · Contenido externo, herramientas y riesgo de inyección
Cómo lo comprobamos. Fuentes consultadas el 4 de noviembre de 2026 para la definición y las medidas descritas. No hemos ejecutado la demostración ni medido la resistencia de una instalación. Configura los controles concretos y comprueba cómo funcionan en tu herramienta.
Qué ha cambiado.
- 4 de noviembre de 2026: Reescrito como v2: inyección indirecta, ejemplo español, límites de cada medida y ejercicio con el correo del ejemplo. Se conservan título e intención de búsqueda.
Términos relacionados
Aprende a usar la IA en tu trabajo, con criterio.
El nivel 0 es gratis: cuarenta minutos para entender qué pedirle a la IA y qué revisar. El programa completo enseña a implementarla en tu propio negocio, tarea a tarea.
