Investigadores encuentran una forma de frenar en seco a los agentes de IA que hackean sistemas

Noventa y uno por ciento de éxito. Ese era el promedio con el que agentes de IA lograban abrirse camino hacia algún tipo de acceso en un entorno de prueba. Después de que los investigadores de la firma de seguridad Tracebit metieran mano, ese número cayó a 15%. La herramienta no fue un parche de software: fue, básicamente, hablarle al modelo de una manera que lo hace dudar de sí mismo.

Qué es el 'context bombing'

Andy Smith, cofundador y CEO de Tracebit, y Earlence Fernandes, profesor de seguridad en IA de UC San Diego, presentaron el lunes 18 de julio los resultados de 152 corridas de ataque contra cinco modelos distintos — Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6 — actuando como agentes autónomos de hacking. La técnica, bautizada context bombing, inyecta señales de advertencia dentro del contexto que procesa el agente: básicamente, le hace creer que está siendo observado o que la acción que está por tomar dispara alarmas. "En el fondo estamos activando un mecanismo de rechazo dentro del contexto", explicó Smith.

La idea aprovecha algo que ya está entrenado en la mayoría de los modelos comerciales: cierta reticencia a seguir adelante con una acción cuando el propio texto que están procesando sugiere que hay vigilancia, registro de auditoría o consecuencias legales de por medio. Un agente de hacking automatizado no tiene intuición ni miedo real — pero si el entorno que está explorando parece "hablarle" con advertencias de ese tipo, una parte no menor de las corridas simplemente frena antes de escalar privilegios, aunque técnicamente pudiera seguir avanzando.

Los números por categoría son contundentes: la escalada a privilegios de administrador bajó del 57% al 5%. Cuando además el agente intentaba dejar una puerta trasera persistente, el éxito se desplomó del 36% al 1%. Opus 4.8, que en las corridas sin defensa lograba acceso admin en el 93% de los casos, terminó en 0%. En promedio, la cantidad de pasos de ataque completados con éxito bajó de 1,53 a apenas 0,16 por corrida — una caída de casi diez veces en la profundidad promedio que alcanzaba cada intento.

La ventana de detección también importa

Hay otro dato que en el fondo es el más práctico: los agentes de IA que sí lograban avanzar tardaban en promedio 14 minutos en escalar a control administrativo, mientras que las alertas tipo canario (señuelos que detectan movimiento no autorizado) se disparaban en promedio a los 8 minutos. Esa diferencia — 6 minutos de margen — es lo que separa a un equipo de seguridad que puede reaccionar de uno que se entera después del hecho. La investigación construye sobre hallazgos previos de mayo sobre advertencias defensivas contra ataques de IA, y confirma algo que se viene diciendo hace tiempo en el gremio: los mismos modelos de lenguaje que hacen más accesible el ataque automatizado también tienen puntos ciegos explotables por la defensa.

Vale la aclaración: esto no es una solución mágica ni definitiva. Los propios investigadores reconocen que se trata de un entorno de prueba controlado, y que a medida que los modelos se entrenan específicamente para reconocer y descartar este tipo de señuelos textuales, la efectividad del context bombing probablemente baje con el tiempo — es una carrera armamentista más, no un punto final. Pero como primera línea de defensa barata de implementar, contra agentes que hoy automatizan buena parte del trabajo que antes hacía un atacante humano paso a paso, los resultados son un dato duro a favor de invertir en este tipo de mitigaciones.

Qué implica para una PyME

Ninguna PyME argentina va a implementar context bombing por su cuenta — es una técnica de investigación, no un producto todavía. Pero el hallazgo importa igual: confirma que a medida que se vuelve más fácil automatizar ataques con IA (algo que ya está pasando y va a seguir creciendo), también se vuelve más viable automatizar la defensa. Para una empresa chica sin equipo de seguridad dedicado, la recomendación concreta sigue siendo la de siempre — parches al día, alertas de acceso configuradas, mínimo privilegio por usuario — pero con un dato nuevo: en los próximos meses van a empezar a aparecer estas defensas basadas en IA como feature de proveedores de seguridad gestionada, y vale la pena preguntarles a los que ya se contratan si están incorporando este tipo de mitigación.