Texto hostil dentro de la evidencia

Un asistente recibe un solo bloque de texto: lo que le pidió la persona y el contenido que debe analizar, mezclados. Si ese contenido incluye una frase redactada como orden, el modelo puede tratarla como una instrucción más. Eso es la inyección indirecta de instrucciones, el primer riesgo de la lista de OWASP para aplicaciones con modelos de lenguaje (LLM01 en la edición 2025). El texto puede estar a la vista o escondido: un fragmento con el mismo color que el fondo, un comentario del HTML, un campo de metadatos.

Para quien analiza, la regla es simple: el contenido de la evidencia es siempre dato y nunca autoridad. Una frase dirigida al asistente dentro de un correo, un archivo o un comentario no es una instrucción del SOC: es un indicio de que alguien quiso influir en la herramienta.

La consola trae los textos del correo que el asistente leyó, uno por fila, con su origen. Prueba SELECT * FROM campos_del_caso. Lee cada fila como lo haría una persona que busca texto que no tiene sentido para quien recibe el correo.

Leer una instrucción oculta es un problema; que además el asistente tenga permiso de actuar lo vuelve un incidente. OWASP llama a ese exceso de permisos agencia excesiva (LLM06 en la edición 2025). Prueba SELECT * FROM acciones_del_asistente y luego SELECT * FROM acciones_del_asistente WHERE aprobo_una_persona = "no".

El registro no dice por qué el asistente hizo cada cosa: solo qué hizo, sobre qué caso y si una persona lo aprobó. Es lo que se puede afirmar con honestidad.

No hay forma fiable de pedirle a un modelo que ignore el texto hostil: el filtro que se escriba en palabras es una orden más entre las demás. Lo que funciona está fuera del modelo: darle solo los permisos que necesita y exigir que una persona apruebe lo que cambia el estado de un caso. Si lo único que el asistente puede hacer es escribir un borrador, la frase oculta no logra nada más que un borrador raro.