Encubierto o visible: por qué la tasa de éxito oculta las inyecciones que importan

¿De qué se trata?

El 31 de agosto de 2026 (revisado el 1 de septiembre), Yunseok Lee, Yunji Kim y Woojin Lee publicaron “Will the User Ever Know? Covert Indirect Prompt Injection Attacks on Tool-Using LLM Agents” (arXiv 2608.30362), aceptado en la conferencia principal de EMNLP 2026. El trabajo no anuncia una nueva clase de vulnerabilidad. Sostiene que la métrica estándar de la inyección indirecta de prompts — la tasa de éxito de ataque (ASR, Attack Success Rate) — mide lo que no corresponde, y demuestra la brecha empíricamente sobre AgentDojo.

La afirmación es acotada y útil: el ASR cuenta si la acción inyectada se ejecutó. No dice nada sobre si el usuario que lee la respuesta final del agente llegaría a enterarse.

Cómo funciona

Al revisar las trazas de inyecciones exitosas, los autores observan dos finales distintos.

En el primero, el agente ejecuta la acción inyectada y luego vuelve a completar la petición original del usuario. La respuesta final parece una respuesta corriente a una tarea corriente. En el segundo, el agente ejecuta la acción inyectada y se detiene ahí: la acción inyectada es entonces lo que describe la respuesta final, y el usuario tiene ocasión de notarlo.

Los autores llaman a estos casos éxito encubierto (covert) y visible (overt), y descomponen la métrica habitual en consecuencia:

ASR  =  CSR  +  OSR

CSR  (Covert Success Rate)  ataque exitoso, sin rastro en la respuesta final
OSR  (Overt Success Rate)   ataque exitoso, detectable por el usuario

La explicación mecánica es lo interesante. En el bucle ReAct — el patrón razonar/actuar que sigue la mayoría de los agentes con herramientas — la respuesta final es en esencia un resumen de la última acción realizada. Que una inyección termine encubierta o visible depende, por tanto, en gran medida de lo que el agente hace a continuación, y no de cómo se redactó la carga útil. Una inyección que termina la trayectoria se vuelve visible. Una inyección seguida de más trabajo legítimo queda sepultada.

De esa observación los autores derivan ICoA (Induced Covert Attack): en lugar de esforzarse por que la inyección tenga éxito más a menudo, la técnica estructura el texto inyectado para que el agente regrese después a la tarea del usuario. Conceptualmente, la carga presenta la instrucción inyectada como un seguimiento del propio usuario y añade un ancla que devuelve al agente a la petición original una vez ejecutada la acción. Sobre cuatro modelos objetivo evaluados en AgentDojo, ICoA obtiene el mayor CSR, con una mejora de 3,79 a 12,01 puntos porcentuales sobre la mejor referencia.

Aquí no se reproduce ninguna carga útil, y ninguna hace falta para entender el hallazgo: la técnica es un truco de flujo de control sobre el orden del trabajo del agente, no una forma nueva de vencer una barrera de seguridad.

Por qué importa

Tres consecuencias para quien despliega agentes.

Las cifras publicadas de robustez son optimistas en la dirección equivocada. Si el ASR declarado de un modelo es del 4 %, ese número mezcla en silencio las inyecciones que el usuario habría detectado con las que nunca podría ver. El segundo grupo es el operativamente peligroso: más pequeño que el ASR, pero mucho más dañino por incidente. Dos modelos con idéntico ASR pueden tener CSR muy distintos.

El resumen del agente no es un registro. Buena parte de la supervisión práctica de agentes — revisión humana en el bucle, «comprueba qué hizo antes de aprobar» — descansa en el supuesto de que la respuesta en lenguaje natural refleja las acciones ejecutadas. Este trabajo muestra que ese supuesto es barato de romper y, peor aún, que romperlo es un efecto secundario del buen comportamiento del agente. Un agente que vuelve diligentemente a la tarea del usuario tras una inyección es un agente que oculta la inyección.

Al atacante le conviene ser menos ambicioso. El objetivo de optimización pasa de «maximizar la probabilidad de que la inyección se dispare» a «maximizar la probabilidad de que pase inadvertida», y no son las mismas cargas. Las defensas ajustadas contra lo primero no cubren automáticamente lo segundo.

Defensas

1. Registre las acciones con independencia de la salida del modelo. El único registro fiable de lo que hizo un agente es la traza de llamadas a herramientas, capturada fuera del modelo. Nunca deje que la respuesta final haga las veces de pista de auditoría. Es exactamente el requisito de agentes «inspeccionables, trazables e instrumentables» del Agent Control Standard de OWASP, donado al GenAI Security Project y publicado el 1 de septiembre de 2026.

2. Contraste la traza con el resumen. Detector barato e independiente del modelo: enumere las herramientas realmente invocadas, enumere las acciones mencionadas en la respuesta final y marque toda llamada ausente del resumen. El éxito encubierto es, por construcción, una discrepancia entre esos dos conjuntos.

3. Reporte el CSR, no solo el ASR, en sus propias evaluaciones. Si hace red teaming sobre su pila de agentes, desglose los resultados por visibilidad para el usuario. Una defensa que convierte éxitos encubiertos en visibles es una mejora real aunque el ASR no cambie, y una «defensa» que hace lo contrario es una regresión que su métrica actual puntuará como neutra.

4. Aplique los controles en la capa de orquestación. Una política en tiempo de ejecución sobre qué herramientas pueden invocarse, con qué argumentos y qué acciones requieren aprobación no depende de que el agente narre con honestidad. Los ganchos declarativos y portables entre frameworks que propone el ACS son una vía de implementación; el acotado de capacidades y las listas de acciones permitidas son la versión artesanal de la misma idea.

5. Alerte sobre la forma de la trayectoria, no solo sobre el contenido. El propio hallazgo del artículo es que el orden porta señal: una acción que ni fue pedida por el usuario ni aparece en la respuesta, situada a mitad de trayectoria, es un patrón detectable con independencia de lo que dijera la carga útil.

Status

Elemento	Referencia	Fecha	Notas
Artículo encubierto/visible (arXiv 2608.30362)	arXiv (cs.AI, cs.CL)	2026-08-31 (v2: 2026-09-01)	EMNLP 2026 Main Conference; evaluado en AgentDojo
Resultado ICoA	ídem	2026-08-31	Mayor CSR en cuatro modelos objetivo; +3,79 a +12,01 pp sobre la mejor referencia
Agent Control Standard (ACS)	OWASP GenAI Security Project	2026-09-01	Ganchos de middleware + política declarativa en tiempo de ejecución, portables entre frameworks
Repositorio ACS	GitHub (GenAI-Security-Project)	2026-09	Especificación abierta

La conclusión no es que la inyección indirecta de prompts haya empeorado. Es que la métrica que todo el mundo cita nunca midió la detectabilidad por parte del usuario y que, una vez separada, la parte que más importa para la respuesta a incidentes es la que nadie estaba siguiendo. Si su relato de supervisión depende de leer lo que el agente dice haber hecho, no tiene relato de supervisión.