Artiom Semiónov, experto de PWN AI: cómo los agentes de IA borran archivos y se hackean a sí mismos

En 2026, Habr publicó una entrevista con Artiom Semiónov, autor de PWN AI, un canal de Telegram dedicado al uso inseguro de la inteligencia artificial. La conversación aborda cómo funciona la seguridad de los sistemas de IA y por qué los ataques contra modelos de lenguaje se han convertido en una disciplina propia, con su propia taxonomía, sus herramientas e incidentes reales.

Cómo ha crecido la superficie de ataque

Según Semiónov, la aparición de los agentes de IA autónomos y del protocolo MCP (Model Context Protocol) ha ampliado drásticamente la superficie de ataque contra los sistemas de IA. Antes se hablaba sobre todo de manipular las respuestas de un modelo de lenguaje. Ahora, los agentes pueden ejecutar acciones por su cuenta en el mundo real: borrar archivos, enviar datos al exterior e incluso hackearse a sí mismos. Por eso, las consecuencias de un ataque exitoso son mucho más tangibles que una simple «respuesta incorrecta» de un chatbot.

Por qué el prompt de sistema no protege

La idea central de la entrevista es que el prompt de sistema no es una frontera de seguridad. Las instrucciones que los desarrolladores incluyen en el prompt del modelo se pueden eludir, así que no conviene confiar en ellas como barrera de protección. Semiónov analiza además la diferencia entre el prompt injection directo (direct), en el que el propio usuario introduce la instrucción maliciosa en el diálogo con el modelo, y el prompt injection indirecto (indirect), en el que la instrucción maliciosa llega al modelo a través de datos externos: documentos, páginas web, correos o resultados de herramientas que el agente procesa mientras ejecuta una tarea, sin siquiera sospecharlo.

• El entrevistado es Artiom Semiónov, autor del canal de Telegram PWN AI sobre el uso inseguro de la IA
• Es la segunda entrevista de Semiónov con Habr: la primera conversación sobre seguridad de la información e IA se publicó en 2023
• Los temas clave son el crecimiento de la superficie de ataque por los agentes y el protocolo MCP, las limitaciones del prompt de sistema como protección y la diferencia entre prompt injection directo e indirecto
• La seguridad de los sistemas de IA se describe como una disciplina propia, con su taxonomía y sus herramientas, y no como un tema secundario de la seguridad de la información clásica

Qué hay detrás de la palabra «taxonomía»

Semiónov subraya que proteger los sistemas de IA ya no consiste en un conjunto de consejos sueltos como «no confíes en la entrada del usuario». Se trata de una disciplina sistemática: tiene su propia clasificación de ataques, sus herramientas de prueba y su propio conjunto de incidentes documentados a los que se puede hacer referencia. Para los ingenieros y las empresas que integran modelos de lenguaje y agentes en sus productos, esto implica diseñar la protección contra estos ataques de forma tan sistemática como la protección contra vulnerabilidades clásicas como la inyección SQL o el XSS, en lugar de confiar en que el modelo «sabrá distinguir por sí solo» dónde termina una instrucción legítima y dónde empieza un ataque.

Por qué es la segunda vez que se habla de esto

No es la primera vez que Habr aborda la seguridad de la IA con este interlocutor: la plataforma ya publicó una conversación similar con Semiónov en 2023. La decisión de volver al tema y actualizar la información es reveladora en sí misma. En este tiempo, la industria ha pasado de chatbots sencillos, que en el peor de los casos daban una respuesta fuera de lugar, a agentes autónomos con acceso al sistema de archivos, a servicios externos y a herramientas a través de protocolos como MCP. En consecuencia, lo que está en juego también ha crecido: un fallo de seguridad ya no puede costar solo un diálogo arruinado, sino archivos borrados de verdad o datos filtrados.

Qué significa esto

La conversación constata un cambio de escala. Hasta hace poco, los ataques contra modelos de lenguaje eran más bien un ejercicio académico. Con la expansión de los agentes autónomos, que realmente borran archivos, envían datos al exterior y son vulnerables al autohackeo, la seguridad de los sistemas de IA se convierte en un problema práctico de ingeniería, igual que la seguridad de cualquier otro software crítico, aunque con una taxonomía de amenazas nueva y específica de los agentes y del protocolo MCP.