Secuestro de la cadena de razonamiento: las trazas largas diluyen el rechazo del modelo

¿Qué es esto?

El secuestro de la cadena de razonamiento (Chain-of-Thought Hijacking) es una técnica de jailbreak dirigida a los grandes modelos de razonamiento (LRM) — la serie o, Gemini 2.5 Pro, Grok 3 Mini, Claude 4 Sonnet y sistemas análogos que producen una traza de razonamiento larga y estructurada antes de responder. El ataque no depende de un juego de roles ingenioso ni de una carga ofuscada. En su lugar, obliga primero al modelo a recorrer un gran volumen de razonamiento inofensivo — un acertijo, un enigma matemático, un reto de código de varios pasos — y solo presenta la petición dañina al final. El artículo de investigación (arXiv:2510.26418, «Chain-of-Thought Hijacking») reporta tasas de éxito en el banco de pruebas HarmBench del 100 % en Grok 3 Mini, 99 % en Gemini 2.5 Pro, 94 % en ChatGPT o4-mini y 94 % en Claude 4 Sonnet. Un análisis defensivo publicado por NeuralTrust el 25 de junio de 2026 recorre el mismo mecanismo y las mismas cifras. El hallazgo importa porque invierte una suposición cómoda: que dar a un modelo más tiempo para «pensar» lo vuelve más seguro.

Cómo funciona

El artículo documenta un fenómeno que denomina dilución del rechazo. Cuando un modelo declina una petición, ese rechazo está impulsado por una señal interna específica y de baja dimensión en sus activaciones; cuando el estado interno se alinea con esa dirección, el modelo produce su respuesta de «no puedo ayudar con eso». El resultado central es que esa señal no es fija: se debilita a medida que la traza de razonamiento se alarga. Se combinan dos efectos. Primero, la atenuación de la atención: el mecanismo de atención se comporta como un foco, y cuando la traza se extiende a miles de tokens, el peso relativo otorgado a la petición dañina original cae, porque el modelo dedica su presupuesto de atención a sus propios pensamientos recientes e inofensivos. Segundo, el debilitamiento de las activaciones: sondear las capas del modelo muestra que la intensidad de la señal de rechazo desciende literalmente a medida que la traza se alarga. Los investigadores lo localizan de forma estructural — las capas intermedias codifican la fuerza de la comprobación de seguridad y las capas posteriores la dirección de rechazo en sí — y confirman la causalidad desactivando las cabezas de atención que mantienen el rechazo, tras lo cual la capacidad del modelo para declinar se derrumba. Aquí describimos la forma del mecanismo y no una instrucción funcional; la lección útil es arquitectónica, no una receta.

Por qué importa

No es una rareza de un solo modelo. La misma técnica sortea la seguridad de cuatro proveedores y arquitecturas con una fiabilidad casi total, lo que apunta a algo inherente a cómo se escala hoy el razonamiento en el momento de inferencia, y no a una brecha en un pipeline de entrenamiento concreto. En la evaluación clásica de jailbreaks, un método que funciona el 20-30 % del tiempo ya se considera un hallazgo serio; tasas del 94 al 100 % representan un colapso casi completo del comportamiento de rechazo esperado para estos modelos. Las implicaciones son más agudas para los sistemas agénticos. A medida que otorgamos a los agentes más autonomía y cadenas de razonamiento más largas para resolver tareas difíciles, esa misma longitud que mejora su resolución de problemas reduce la fiabilidad de sus salvaguardas — una tensión directa entre utilidad y seguridad. También crea un punto ciego de supervisión: los controles de seguridad actuales inspeccionan sobre todo la petición de entrada y la salida final, pero la dilución ocurre en el medio, en los miles de tokens de razonamiento interno que la mayoría de los despliegues nunca examinan.

Defensas

La propia conclusión del artículo es que más entrenamiento de seguridad no es la solución, porque el problema es dinámico y no un agujero estático en el alineamiento. La dirección defensiva es la verificación continua, durante la inferencia: revisar la intención a intervalos regulares a lo largo del razonamiento para reafirmar la señal de rechazo en lugar de dejar que se desvanezca, en vez de evaluar la seguridad solo al principio. La interpretabilidad mecanicista puede convertirse en un monitor: si se sabe qué cabezas de atención y qué rutas de activación sostienen el rechazo, se puede vigilar el momento en que esas señales se debilitan e intervenir antes de que se produzca una salida. En la práctica, los equipos que despliegan modelos de razonamiento deberían añadir salvaguardas en tiempo de inferencia que inspeccionen la traza de razonamiento oculta y no solo la respuesta final, limitar o señalar los preámbulos de razonamiento inofensivo anormalmente largos que preceden a una petición sensible, y mantener un clasificador de salida independiente para que un rechazo interno diluido no sea la última línea de defensa. Para los despliegues agénticos, aplique la contención habitual que sobrevive a una sola generación defectuosa: acotamiento de herramientas con mínimo privilegio, validación humana de las acciones de alto impacto y registro del canal de razonamiento cuando sea posible. Ninguna de estas medidas cierra por completo la brecha por sí sola — los investigadores lo plantean como un problema abierto — pero superponerlas encarece el ataque y reduce su radio de impacto.

Estado

Se trata de un resultado de investigación sobre una clase de modelos de razonamiento, no de un CVE de un proveedor concreto. Las cifras siguientes provienen del preprint público, su página de proyecto y un análisis defensivo de junio de 2026.

Elemento	Detalle
Técnica	Secuestro de la cadena de razonamiento (preámbulo largo e inofensivo antes de una petición dañina)
Mecanismo	«Dilución del rechazo»: atenuación de la atención + debilitamiento de una señal de rechazo de baja dimensión a medida que crece la traza
ASR reportado (HarmBench)	Grok 3 Mini 100 %, Gemini 2.5 Pro 99 %, ChatGPT o4-mini 94 %, Claude 4 Sonnet 94 %
Primera publicación	Preprint arXiv:2510.26418; análisis defensivo del 25 de junio de 2026
Trabajos relacionados	H-CoT (arXiv:2502.12893), que secuestra el razonamiento de seguridad mostrado de o1/o3, DeepSeek-R1 y Gemini 2.0 Flash Thinking
Estado	Problema abierto; las mitigaciones propuestas son la verificación durante la inferencia y la supervisión por interpretabilidad, no un parche