La ventana está en el razonamiento: cuando el agente decide seguir una inyección

¿Qué es esto?

Los monitores en tiempo de ejecución y los benchmarks de una sola ejecución contra la inyección de prompts suelen asumir que si un agente sigue o no una instrucción inyectada queda fijado en el momento en que lee el contenido no confiable. El 16 de octubre de 2026, Haoxuan Jia y colaboradores publicaron «The Window Is in the Reasoning» (arXiv:2610.24048), que pone a prueba esa suposición. Es un estudio de medición sobre monitorización defensiva; no introduce ningún ataque nuevo.

Cómo funciona

Los autores usan rollouts ramificados. Reproducen un episodio del agente hasta el punto en que lee una inyección y luego remuestrean el resto muchas veces. Comparar las ramas separa la varianza del resultado en una parte fijada en la lectura y otra decidida después. Los experimentos usan cuatro suites de AgentDojo (AgentDojo, junio de 2024, es un benchmark público de 97 tareas y 629 casos de prueba de seguridad).

Resultados reportados:

• Un agente Qwen3 sin razonamiento tenía alrededor de 0,91 de su varianza fijada en la lectura. Con el razonamiento activado, esa proporción bajó a cerca de 0,62, de forma consistente en tres plantillas de ataque y dos definiciones de éxito.
• El efecto depende del modelo: el razonamiento redujo la tasa de éxito de los ataques en Qwen3 pero la aumentó en otros dos modelos.
• El remuestreo desde prefijos de razonamiento muestra que la decisión de seguir la inyección se forma gradualmente durante el razonamiento.
• Los monitores de cadena de pensamiento zero-shot basados en modelos más baratos pasan por alto gran parte de lo que el prefijo ya había determinado. Los monitores más fuertes, y un monitor «lookahead» que evalúa acciones siguientes simuladas, se acercan mucho más.
• En agentes con razonamiento, las etiquetas de una sola ejecución diferían de una repetición en hasta el 35 % de los casos.

Por qué importa

Un control aplicado solo cuando el contenido no confiable entra en el contexto puede perder una decisión que aún no se ha tomado, y un monitor barato puede no verla formarse. Los benchmarks con una sola ejecución por tarea también pueden sobrestimar o subestimar la robustez real del agente. Otro artículo del 2 de octubre de 2026 (arXiv:2610.03448) añade una advertencia relacionada: las clasificaciones de detectores se transfieren mal entre benchmarks, y el mejor detector en BIPIA detectó solo cerca del 2 % de las inyecciones de AgentDojo con 1 % de falsos positivos.

Defensas

• No dependa de una única comprobación en el momento de la lectura. Monitorice el razonamiento y las acciones propuestas a medida que se desarrollan, y filtre cada llamada a herramientas sensible.
• Use un monitor al menos tan capaz como el agente, o uno que evalúe acciones siguientes simuladas (lookahead), en lugar de un monitor zero-shot barato.
• Aplique mínimo privilegio a las herramientas y exija aprobación para acciones sensibles, de modo que una decisión tardía de seguir una inyección no cause daño grave.
• Evalúe con ejecuciones repetidas por tarea e informe la varianza, no un simple éxito/fallo de una ejecución.
• Pruebe los detectores con las salidas de herramientas de su propio agente y mida la detección con baja tasa de falsos positivos, como recomienda el segundo artículo.
• Trate todo contenido recuperado o devuelto por herramientas como no confiable y registre las decisiones para auditoría.

Status

Elemento	Detalle
Tipo de fuente	Estudio de medición académico (arXiv, cs.CL / cs.AI / cs.CR)
Publicación	16 de octubre de 2026 (arXiv:2610.24048 v1)
Trabajos relacionados	2 de octubre de 2026 (arXiv:2610.03448); AgentDojo, 19 de junio de 2024
Modelos citados	Qwen3 (con y sin razonamiento); otros dos no nombrados en el resumen consultado
Vulnerabilidad / CVE	Ninguna; investigación de evaluación, no un fallo de producto