PuzzleMask: cuando la prosa corriente esquiva al modelo filtro

¿Qué es?

Muchos despliegues de LLM colocan un modelo «filtro» pequeño y rápido delante de un modelo «objetivo» más capaz. El filtro revisa cada entrada y bloquea lo que infringe la política. El 10 de septiembre de 2026, Check Point publicó PuzzleMask, una técnica que expone la debilidad de este patrón: una instrucción que infringe la política puede ocultarse en prosa corriente y bien puntuada, sin codificación, caracteres invisibles ni otra ofuscación que los filtros de entrada suelen buscar.

Los autores subrayan que no es un jailbreak del entrenamiento de seguridad del modelo objetivo: solo elimina el filtro de entrada. Los detalles de construcción se omitieron en las publicaciones, y también se omiten aquí.

Cómo funciona

La idea se basa en una brecha de capacidades. El filtro lee el texto visible y lo considera inocuo; un modelo más potente, con suficiente tiempo de razonamiento y herramientas como un intérprete de código, puede reconstruir la instrucción oculta y actuar en consecuencia.

Check Point informa de los siguientes resultados en su entorno controlado (no son tasas universales de elusión):

• Cuatro filtros (gpt-4o-mini, gpt-oss-safeguard, claude-3-haiku, llama-guard3) marcaron correctamente las versiones sin envolver, pero clasificaron como seguro cada prompt envuelto (23 prompts; 5 aplicables en Llama Guard 3).
• Un objetivo GPT-5 Thinking, con esfuerzo de razonamiento alto y Python disponible, reconstruyó y ejecutó la instrucción en 17 de 18 pruebas aplicables. Cada éxito requirió más de un minuto de razonamiento y varias ejecuciones de código.
• Los modelos de clase Opus de Anthropic resistieron todos los intentos. Los autores sugieren un clasificador interno, pero lo señalan como no verificado.
• La técnica se comunicó a Anthropic, Meta y OpenAI antes de publicarse; los artículos no informan de ninguna corrección.

Por qué importa

La clasificación de entradas suele tratarse como la frontera de seguridad. PuzzleMask ilustra que un filtro menos capaz no puede predecir con fiabilidad lo que un modelo más potente inferirá del mismo texto. Cualquier canalización donde el guardián sea menos capaz que el modelo que protege, y donde este tenga herramientas, hereda esa brecha. El impacto depende de lo que pueda hacer el objetivo: limitado con herramientas de solo lectura, mayor con acceso a shell, archivos o red.

Defensas

• Separe la clasificación de políticas de la autorización: aplique mínimo privilegio en las herramientas y aprobación en el momento de la acción, para que una entrada no detectada no se convierta en una acción dañina.
• Supervise las salidas, el razonamiento y las llamadas a herramientas del objetivo (comandos de shell, escritura de archivos, llamadas de red, uso de credenciales), no solo sus entradas.
• Reduzca la brecha de capacidades: use un guardián más potente o escale las entradas ambiguas a un modelo de seguridad más fuerte.
• Parafrasee la entrada no confiable antes del filtrado; puede romper la estructura oculta, a costa de latencia y posible degradación del contenido legítimo.
• Endurezca la política del guardián frente a formulaciones sospechosas. En las pruebas de Check Point, una cláusula de política permitió a gpt-4o-mini marcar los 23 prompts, pero hay que medir los falsos positivos.
• Trate el texto recuperado o aportado por el usuario como no confiable y registre las decisiones modelo-herramienta para auditoría.

Estado

Elemento	Detalle
Tipo de fuente	Investigación de proveedor (Check Point), experimentos controlados
Publicación	10 de septiembre de 2026
Filtros eludidos	gpt-4o-mini, gpt-oss-safeguard, claude-3-haiku, llama-guard3
Reconstrucción por el objetivo	GPT-5 Thinking: 17 de 18 pruebas
Divulgación	Comunicado a Anthropic, Meta, OpenAI; sin corrección reportada
Vulnerabilidad / CVE	Ninguno asignado; es una técnica, no un fallo de producto