Persona Attack: cómo la memoria de conversación erosiona la alineación de seguridad

¿Qué es esto?

El 1 de junio de 2026, un grupo de investigadores publicó Persona Attack: Incremental Memory Injection Jailbreak Attack against Large Language Models, un estudio sobre un jailbreak multiturno que no depende de un único prompt elaborado. En su lugar, el atacante reparte instrucciones a lo largo de una conversación, de modo que se acumulan en la ventana de contexto del modelo —su «memoria» a corto plazo del intercambio—. A medida que esos fragmentos se apilan y refuerzan una persona elegida, el modelo tiende a tratarlos como el contexto operativo y empieza a priorizarlos por encima de su propia alineación de seguridad.

Lo relevante es que el objetivo es una superficie presente por diseño en todo chatbot: la conversación en curso. Pertenece a la misma familia que el many-shot jailbreaking de Anthropic (Anthropic, 2024) y que la degradación multiturno descrita en State-Dependent Safety Failures in Multi-Turn Language Model Interaction (marzo de 2026), pero enmarca el problema en torno a cómo se almacena y se relee la memoria conversacional.

Cómo funciona

La observación central: la alineación se aplica y se evalúa sobre todo a nivel de un prompt aislado, mientras que una conversación viva es una secuencia creciente que el modelo relee en cada turno. La técnica descrita explota esa brecha sin recurrir nunca a un único mensaje que activaría un filtro de contenido.

Turno 1..n  El atacante siembra fragmentos de persona y encuadre inofensivos
              (cada turno pasa individualmente la moderación)
                    |
                    v
Acumulación   La ventana de contexto se llena de instrucciones que se
              refuerzan; la persona se vuelve el contexto «reciente» dominante
                    |
                    v
Punto de      El modelo pondera las instrucciones acumuladas por encima de sus
inflexión     ajustes de seguridad; la probabilidad de rechazo cae

El artículo indica que el éxito depende de cómo un sistema concreto implementa y trunca la memoria de conversación, y de cómo se combinan las instrucciones inyectadas —con tasas de éxito que alcanzan hasta el 95 % en configuraciones específicas—. Aquí no se reproduce ningún payload operativo; lo que importa es el mecanismo (refuerzo gradual en contexto), no un script concreto. Se trata de un resultado de investigación documentado sobre sistemas publicados, no de un ataque inédito contra un objetivo en producción.

Por qué importa

La lección práctica: medir la seguridad de prompt en prompt subestima la exposición real. Un mensaje inofensivo por sí solo puede ser un eslabón de una cadena que termina donde un filtro one-shot habría bloqueado. Las ventanas de contexto más largas y la memoria persistente por usuario —dos argumentos de venta de los asistentes y agentes actuales— amplían justo la superficie que usa este ataque.

Para quien despliega un asistente con memoria, se siguen tres consecuencias. Las evaluaciones que solo prueban prompts aislados pasarán por alto esta clase por completo. Las barreras que puntúan cada mensaje de forma independiente dan una falsa sensación de cobertura. Y los sistemas de agentes que arrastran estado conversacional entre llamadas a herramientas o sesiones extienden la ventana de acumulación mucho más allá de un solo chat, dando a una persona construida despacio más espacio para asentarse.

Defensas

Ningún control único elimina el riesgo, pero varios lo reducen y se combinan bien.

Evaluar a través de los turnos, no solo los prompts. Haga red-team con escenarios multiturno y de contexto largo que dejen acumularse una persona, en lugar de payloads one-shot. Los trabajos anteriores sobre fallos multiturno y el estudio de mitigación del many-shot (mayo de 2026) son buenos puntos de partida para diseñar las pruebas.

Puntuar la conversación, no el mensaje. Ejecute las barreras sobre una ventana deslizante de los turnos recientes, para que la deriva y el refuerzo se vuelvan visibles, en vez de juzgar cada mensaje aisladamente.

Reanclar la seguridad periódicamente. Reafirme las restricciones del sistema durante las sesiones largas y limite cuánto puede desviar el comportamiento el contenido de usuario acumulado. El estudio de mayo de 2026 anterior muestra que una pequeña demostración correctiva bien colocada puede reducir drásticamente el éxito de los jailbreaks de contexto largo —una palanca barata y práctica—.

Restringir y aislar la memoria. Acote la longitud de la conversación y de la memoria por usuario, resuma en lugar de conservar el texto inyectado en bruto, y aísle las sesiones para que una persona construida en un contexto no se propague a otro. Para los agentes, trate el estado entre sesiones como entrada no confiable y revalídelo.

Vigilar la deriva lenta. Detecte conversaciones que empujen de forma sostenida hacia terreno restringido a lo largo de muchos turnos —un patrón que el registro mensaje a mensaje tiende a ocultar—.

Estado

Elemento	Detalle
Divulgación	Artículo académico, arXiv, 1 de junio de 2026
Vector	Inyección incremental multiturno en contexto («memoria»)
Éxito reportado	Hasta ~95 % según la configuración (variable según la implementación de memoria)
Superficie afectada	LLM conversacionales, chatbots y agentes con memoria
Estado del arreglo	Debilidad de comportamiento, no un fallo corregible con un solo parche; se mitiga con defensa en profundidad