Qué contiene un prompt de sistema y quién lo ve

Un prompt de sistema es el texto que la aplicación coloca delante de cada conversación antes de pasársela al modelo: quién es el asistente, cómo debe hablar, qué herramientas tiene y, a menudo, datos de la sesión rellenados en el momento. El modelo no lo recibe por un canal aparte ni protegido: lo lee en la misma ventana de contexto donde está el mensaje del cliente, y genera su respuesta a partir de todo junto.

De ahí sale la consecuencia que ordena este módulo. Lo que está en el prompt está al alcance del texto que el modelo produce, y por tanto puede terminar en una respuesta. OWASP lo recoge en su lista de riesgos de aplicaciones con modelos de lenguaje de 2025 como LLM07, la filtración del prompt de sistema, y su recomendación de fondo es tratar ese texto como algo que no es secreto ni es un control de seguridad.

La mayoría de los prompts no son un texto fijo: son una plantilla con variables que la aplicación rellena en cada conversación. Es cómodo, y por eso crece sin control: alguien añade un dato «por si acaso» y desde ese día viaja en cada llamada al modelo, se guarda en cada traza y queda al alcance de cada respuesta.

La pregunta que se hace sobre cada variable es la misma que sobre cualquier dato personal: ¿quién lo necesita para hacer su trabajo? Si ninguna herramienta lo usa y el modelo no lo necesita para redactar, sobra. Abre la plantilla de Tarka y el ejemplo ya armado, y busca la variable que mete un dato personal que nadie usa.

Un prompt no vive en un solo sitio. Está en el repositorio donde se escribe, en la herramienta con la que se evalúa, en las trazas que guardan cada conversación, a veces en el panel del proveedor del modelo, y en cualquier respuesta que lo repita. Cada sitio tiene su propio grupo de lectores, y no siempre es el mismo equipo que lo escribió.

Hay una diferencia importante entre guardar la plantilla y guardar el prompt ya armado: la plantilla solo tiene marcadores; el armado lleva dentro los datos reales de cada cliente. Revisa el inventario de Tiaca y localiza al grupo que no pertenece a la empresa y lee los prompts ya armados.

Para dimensionar el problema conviene contar. Si el prompt llevara un secreto, ¿cuántas personas lo tendrían ya delante sin haber hecho nada raro? Esa cifra es la que se pone en un informe para que la dirección entienda que «el prompt es interno» no significa «el prompt es privado».

Suma las personas de todos los sitios que guardan el texto completo del prompt, sea la plantilla o el armado. Deja fuera a los clientes, que no se pueden contar, y los sitios que no guardan el texto.

Con lo que has visto, la conclusión no es «hay que esconder mejor el prompt». El texto pasa por demasiados sitios y lo procesa un modelo que no distingue qué es confidencial. La premisa útil es la contraria: diseñar como si el prompt fuera legible por cualquiera, y que su lectura no le dé a nadie una ventaja que no tuviera ya.