RAISED: autodestilación para blindar a los agentes frente a la inyección de prompts
Un artículo de arXiv del 5 de octubre de 2026 entrena a los agentes para actuar como si las salidas de herramientas inyectadas fueran limpias, reduciendo ataques sin perder utilidad.
¿Qué es esto?
El 5 de octubre de 2026, un equipo encabezado por Mohamed Dhouib (con Elie Bursztein entre los autores) publicó RAISED: Self-Distillation for Robustness to Prompt Injection in LLM Agents (arXiv:2610.06401, cs.CR). El trabajo aborda la inyección de prompts indirecta: un agente que usa herramientas lee contenido externo no confiable (una página web, un documento, la respuesta de una herramienta) y es manipulado por instrucciones ocultas en él.
Es una contribución defensiva, no un ataque nuevo. Su punto de partida es que las defensas aplicadas en el entrenamiento reducen la tasa de éxito de los ataques, pero con frecuencia degradan las capacidades generales, posiblemente porque desplazan la distribución de salida del modelo incluso con entradas benignas.
Cómo funciona
Según el resumen, los autores identifican un fallo concreto de los modelos defendidos actuales: en tareas benignas a veces omiten un paso necesario para completar una tarea autorizada, sobre todo cuando es la salida de una herramienta la que indica ese paso. El modelo ha aprendido a desconfiar tanto de las salidas de herramientas que ignora indicaciones legítimas.
RAISED (Robust Attack Invariance through Self-Distillation) lo aborda en tres pasos:
- El modelo genera sus propios escenarios de uso de herramientas, haciendo hincapié en casos donde completar la tarea exige seguir una indicación legítima presente en la salida de una herramienta.
- Un maestro aporta el comportamiento que mostraría en un contexto limpio.
- Un estudiante se entrena para imitar ese comportamiento tanto en la versión limpia como en la inyectada de la misma trayectoria.
El objetivo es la «invariancia frente al ataque»: el texto inyectado no debe cambiar lo que hace el agente. Los autores informan de que el éxito de las inyecciones en respuestas de herramientas se reduce de forma sustancial mientras se preserva la utilidad en benchmarks agénticos y generales. El resumen no ofrece cifras; conviene consultarlas en el artículo completo en lugar de suponerlas.
Como contexto, un trabajo relacionado del 21 de agosto de 2026, SecOPD (Peng, Lian, Wagner, Chen), también emplea destilación: retroalimentación a nivel de token puntuada por el modelo inicial a partir de la entrada limpia. Reporta un 9,0 % de éxito de ataque ante inyecciones adaptativas con un Qwen3.6-27B defendido, frente al 94,0 % de Meta-SecAlign, y un 4,7 % frente a un 5,5 % en un dominio de llamadas a herramientas no visto. Los métodos difieren, pero ambos usan el comportamiento con entrada limpia como objetivo de entrenamiento.
Por qué importa
La inyección de prompts sigue siendo el problema central sin resolver de los agentes, y los defensores afrontan un equilibrio: más resistencia suele significar un agente menos útil. Una defensa que falla omitiendo pasos legítimos es costosa operativamente, porque se manifiesta como una finalización poco fiable de tareas y no como una alerta de seguridad. Por ello es necesario evaluar tanto la tasa de éxito de los ataques como la finalización de tareas benignas; medir solo una oculta el coste de la otra.
Se trata de un preprint sin replicación independiente, y una defensa basada en entrenamiento solo atiende el comportamiento del modelo, no el sistema que lo rodea.
Defensas
- Trate la robustez del entrenamiento como una capa más. Mantenga mínimos privilegios en las herramientas, aprobación humana para acciones sensibles y aislamiento del contenido no confiable, sea cual sea el modelo.
- Mida la utilidad junto con la seguridad. Al evaluar un modelo defendido, ejecute tareas benignas de varios pasos donde una salida de herramienta indique legítimamente el siguiente paso, y registre los pasos omitidos.
- Pruebe con las salidas de sus propias herramientas. Los resultados de benchmarks pueden no trasladarse a los formatos de datos reales de su agente.
- Use ataques adaptativos en la evaluación, no solo cadenas de inyección estáticas.
- Registre y supervise las llamadas a herramientas para detectar desviaciones de la tarea autorizada.
Estado
| Elemento | Detalle |
|---|---|
| Artículo | arXiv:2610.06401, v1, enviado el 2026-10-05 |
| Revisión por pares | No indicada (preprint) |
| Resultados cuantitativos | No indicados en el resumen |
| Trabajo relacionado | SecOPD, arXiv:2608.21500, 2026-08-21 |
| Vulnerabilidad / CVE | No aplica (investigación defensiva) |