El Instituto Alan Turing burla las salvaguardas de los modelos de IA camuflando peticiones como tareas de trabajo

Investigadores del Instituto Alan Turing han descubierto una nueva forma de eludir los mecanismos de protección de los modelos de IA. Las peticiones prohibidas a las que un modelo se niega a responder directamente pueden camuflarse como una tarea corriente para un agente de IA que ayuda a escribir código. En ese escenario, los filtros no siempre se activan, según el trabajo que han publicado.

En qué consiste el método

Los modelos de IA actuales están entrenados para rechazar peticiones claramente inadmisibles, como las relacionadas con la creación de código malicioso. Sin embargo, estos mecanismos de protección están configurados sobre todo para reconocer formulaciones directas, planteadas tal cual en el chat. Los investigadores demostraron que, si esa petición se reformula como uno de los puntos de la lista de tareas de un agente de IA que ayuda a programar, es más probable que el modelo la ejecute sin identificarla como inadmisible.

• La vulnerabilidad la descubrieron investigadores del Instituto Alan Turing
• El método consiste en camuflar una petición prohibida como tarea para un agente de IA programador
• El trabajo se ha publicado como un documento PDF independiente
• El problema afecta a modelos que, en modo conversacional, suelen rechazar las peticiones inadmisibles directas

Qué es el Instituto Alan Turing

El Instituto Alan Turing es el centro nacional británico de investigación en ciencia de datos e inteligencia artificial, con sede en Londres. Publica de forma habitual estudios que cruzan la seguridad de la IA con la aplicación práctica de los modelos, incluidos trabajos sobre cómo los atacantes pueden sortear las restricciones integradas en chatbots comerciales y sistemas agénticos.

Por qué supone un riesgo para los agentes de IA

En los dos últimos años, los agentes de IA para programación —herramientas que ejecutan cadenas de tareas por su cuenta, sin supervisión humana constante— se han generalizado: los desarrolladores les encargan listas completas de tareas en lugar de peticiones puntuales. Precisamente esa autonomía abre la brecha. Si una tarea maliciosa se cuela sin llamar la atención entre los puntos legítimos de la lista, el agente puede ejecutarla junto con las demás, una tras otra. Y, a diferencia de lo que ocurre en una conversación normal con un chatbot, la persona no verá ni evaluará cada paso por separado antes de que se ejecute.

Cómo se suele proteger la industria frente a estas técnicas

Este tipo de hallazgos se conoce como jailbreak: métodos para eludir las restricciones integradas de un modelo sin hackear el sistema en sentido técnico. Cuando se publica una vulnerabilidad de este tipo, los desarrolladores suelen responder reentrenando el modelo con nuevos ejemplos de ataques y añadiendo filtros adicionales que no solo revisan cada petición aislada, sino también el contexto de toda la conversación o de la lista de tareas completa. El problema es que cada nueva capa de protección acaba provocando, con el tiempo, la aparición del siguiente método para burlarla: una carrera constante entre los desarrolladores de modelos y los investigadores de seguridad.

Qué significa

El hallazgo de los investigadores del Instituto Turing demuestra que los mecanismos de protección diseñados para el chat convencional no siempre se trasladan a los escenarios agénticos. A medida que los agentes de IA ganan autonomía para escribir código, los desarrolladores tendrán que probar sus salvaguardas no solo con peticiones directas, sino también con peticiones camufladas dentro de listas de tareas.