La brecha de seguridad multilingüe en las defensas anti-inyección

¿Qué es esto?

La mayor parte de la evaluación de seguridad se hace en inglés, y el ajuste de las barreras de protección sigue ese camino. Un preprint publicado a finales de junio de 2026 cuantifica el coste de esa costumbre. Los autores realizaron una evaluación empírica sistemática de la inyección de prompts contra seis familias de modelos ampliamente desplegadas —DeepSeek, GPT, Gemini, Grok, Llama y Qwen— en varios idiomas y varios codificados de caracteres ligeros, midiendo con qué frecuencia cada modelo obedecía una instrucción maliciosa en lugar de rechazarla.

El resultado principal es tan incómodo como constante: las entradas no anglófonas producen tasas de obediencia más altas que las mismas peticiones en inglés, en todos los modelos probados. Un rechazo firme en inglés se debilita cuando la instrucción idéntica se traduce. El trabajo coincide con resultados multilingües anteriores —incluido un análisis de 2026 de modelos en lenguas indias publicado en Scientific Reports— y un estudio sistemático de octubre de 2024 que ya señalaba la desigual generalización de las defensas entre idiomas. La novedad aquí es la amplitud: seis familias de vanguardia actuales, medidas juntas, con la misma batería.

Cómo funciona

No hay ningún exploit que reproducir, y este artículo no contiene ninguno a propósito. El mecanismo es un vacío de cobertura, no un truco ingenioso.

La alineación de seguridad es un comportamiento aprendido. La frontera de rechazo de un modelo solo vale tanto como la distribución de ejemplos con los que fue alineado, y esa distribución es abrumadoramente anglófona. Cuando una instrucción llega en un idioma con menos recursos, o envuelta en un codificado simple, cae ligeramente fuera de la región del espacio de entrada donde los reflejos de rechazo se reforzaron con más intensidad.

Petición en inglés  ── cae en zona densa de entrenamiento de rechazo ──▶ rechazada
Misma petición, en  ── cae en el borde de esa zona                   ──▶ obedecida
un idioma no-EN         (señal de seguridad más débil, señal de tarea intacta)

Dos propiedades del vacío importan a los defensores. Primero, la competencia de tarea se transfiere mejor que la competencia de seguridad. El modelo sigue entendiendo la instrucción traducida lo bastante bien como para actuar; solo la barrera se queda atrás. Segundo, el estudio indica que los codificados de caracteres ligeros reducen la salida maliciosa pero no la eliminan, de modo que tratar un único paso de normalización como una solución es un error. El artículo también señala que las formulaciones en varias etapas aumentan aún más la obediencia, y que DeepSeek, Gemini y Grok fueron especialmente vulnerables ante instrucciones complejas. La lección no es qué modelo puntuó peor en una batería —las clasificaciones cambian con cada versión— sino que el vacío es estructural y aparece en todas partes.

Por qué importa

Si su aplicación acepta entradas en más de un idioma —un bot de soporte, un asistente RAG sobre documentos multilingües, un agente que lee páginas web o correos— entonces su postura de seguridad real la fija su idioma más débil, no su conjunto de pruebas en inglés. Un atacante que encuentre sólidos los rechazos en inglés simplemente cambiará de idioma. Los sistemas RAG y agénticos lo empeoran, porque el texto no confiable que el modelo ingiere (una página recuperada, un documento pegado, el resultado de una herramienta) puede estar en cualquier idioma elegido por el atacante, sea cual sea el idioma de la interfaz.

Es un asunto de gobernanza tanto como técnico. Los equipos que certifican un despliegue como «seguro» sobre la base de un red teaming en inglés solo certifican una fracción de su superficie de ataque real. El OWASP LLM Top 10 trata la inyección de prompts (LLM01) como la principal clase de riesgo; la dimensión multilingüe es un requisito de cobertura oculto en su interior.

Defensas

No se cierra un vacío de alineación que no se mide; empiece por ahí.

Haga red teaming en cada idioma que acepte. Traduzca su conjunto de pruebas adversas en inglés a cada idioma admitido y ejecútelo como punto de control. Siga las tasas de rechazo por idioma y trate cualquier caída por debajo de su referencia en inglés como un bloqueo de la versión, no como una nota al pie.

No confíe solo en la normalización de entradas. Decodificar y normalizar entradas ofuscadas ayuda al margen pero, según el estudio, no impide la salida maliciosa. Úsela como una capa, nunca como la capa.

Filtre la salida, no solo la entrada. Un clasificador de salida independiente —idealmente con buen rendimiento multilingüe— captura la obediencia que se coló por la barrera de entrada. El filtrado de salida es agnóstico al idioma, algo que la detección de intención en la entrada no es.

Aplique la frontera del «lethal trifecta» por arquitectura. Para agentes y RAG, la mitigación duradera no es un mejor rechazo, sino retirar la capacidad de la que abusaría una inyección. Impida que contenido no confiable, datos privados y canales de exfiltración coexistan en un mismo contexto, y exija confirmación humana para acciones con consecuencias. Un modelo que no puede exfiltrar no puede ser persuadido a hacerlo, en ningún idioma.

Prefiera el mínimo privilegio a la resistencia a la persuasión. Acote herramientas, tokens y acceso a datos para que una inyección exitosa alcance lo menos posible. Asuma que la barrera acabará cediendo en algún idioma, y haga que ese fallo sea barato.

Status

Elemento	Detalle
Fuente principal	Evaluación empírica, preprint arXiv, finales de junio de 2026
Modelos evaluados	DeepSeek, GPT, Gemini, Grok, Llama, Qwen (familias)
Resultado clave	Obediencia no anglófona sistemáticamente mayor que en inglés; los codificados ligeros reducen sin detener la salida maliciosa
Corroboración	Análisis multilingüe (Scientific Reports, 2026); estudio sistemático entre idiomas (arXiv, oct. 2024)
Estado del parche	Sin parche — es un vacío de cobertura de alineación; las mitigaciones son arquitectónicas y evaluativas

Este artículo resume investigación pública con fines defensivos y no contiene instrucciones de ataque operativas.