Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd., pionero y líder global en soluciones de ciberseguridad, ha descubierto PuzzleMask. Se trata de una técnica de inyección de prompts que oculta instrucciones contrarias a las políticas de seguridad dentro de textos de apariencia completamente normal. De este modo, logra sortear los filtros rápidos de entrada sin recurrir a indicadores tradicionales como codificación Base64, caracteres invisibles, emojis o formatos inusuales.

Durante las pruebas realizadas en 23 ensayos con cuatro de los principales modelos de filtrado previo (Claude-3-Haiku, GPT-4o-Mini, GPT-oss-safeguard y Llama-Guard3), ninguno logró detectar las cargas maliciosas ocultas, lo que arrojó una tasa de éxito del 100% en la evasión de estos filtros perimetrales. Posteriormente, al derivar las peticiones al modelo de destino (un modelo de razonamiento avanzado con ejecución de código), este recuperó con éxito las instrucciones en 17 de las 18 pruebas (94%), evidenciando un punto ciego crítico en las arquitecturas de seguridad que utilizan modelos ligeros para la supervisión previa de las solicitudes.

La ocultación de instrucciones en texto plano desafía los controles perimetrales

La investigación demuestra que los modelos ligeros de inspección rápida, diseñados para evaluar la seguridad de las peticiones antes de derivarlas a sistemas de mayor capacidad, bloquean con eficacia las solicitudes maliciosas directas. Sin embargo, al enmascarar los mismos comandos dentro de una estructura gramatical natural y fluida, los filtros no identifican anomalías y permiten que las instrucciones lleguen al modelo de destino.

Este escenario pone de relieve la vulnerabilidad de las arquitecturas de tipo «guardián a destino» (gatekeeper-to-target), muy extendidas en la industria para optimizar recursos y proteger los entornos corporativos. La brecha de funcionalidades entre el modelo de filtrado rápido y el modelo de razonamiento final se convierte, de este modo, en una superficie de ciberataque que no requiere técnicas de evasión complejas ni la vulneración de las políticas internas del modelo final.

Implicaciones operativas para organizaciones y desarrolladores

Para las empresas que despliegan asistentes, agentes y copilotos con acceso a datos corporativos y flujos de trabajo automatizados, los hallazgos exigen una evolución en los cortafuegos y sistemas de supervisión:

• Más allá de la inspección de entradas: la investigación recalca que la seguridad basada únicamente en examinar lo que entra en un sistema de IA resulta insuficiente ante vectores basados en lenguaje natural puro.
• Monitorización del comportamiento y la ejecución: las organizaciones deben auditar no solo la solicitud inicial, sino también cómo razona, actúa y responde el modelo tras aprobarse el comando, especialmente si cuenta con privilegios de ejecución de código o acceso a información confidencial.
• Tratamiento del contenido no verificado: los textos procedentes de webs, correos o documentos externos y pegados en entornos de IA deben tratarse con la misma cautela operativa que tradicionalmente se aplica a los archivos adjuntos o enlaces sospechosos.

“PuzzleMask demuestra que las instrucciones dañinas pueden camuflarse dentro de textos cotidianos sin activar las alertas de los controles diseñados para detectar manipulaciones evidentes. A medida que las empresas integran sistemas de IA con acceso a datos y aplicaciones de negocio, la estrategia de seguridad debe evolucionar. Es imprescindible adoptar un enfoque preventivo que combine la inteligencia de amenazas, la gobernanza de la IA y la protección en tiempo de ejecución, moviendo el foco desde la simple inspección de entradas hacia la monitorización activa del comportamiento del agente”, señala Eli Smadja, director de investigación en Check Point Research.

Como posibles vías de mitigación, el informe apunta al uso de técnicas de parafraseado de las entradas de usuario para disolver los mensajes ocultos, el endurecimiento de las políticas en los modelos de filtrado y, fundamentalmente, la supervisión continua de las salidas y acciones ejecutadas por los modelos de IA.