Un agente de seguridad puede ser desviado por el entorno

Un agente recibe un objetivo legítimo, utiliza herramientas autorizadas y trabaja en un laboratorio controlado. Aun así, el entorno observado puede presentar resultados falsos, pistas engañosas o destinos ajenos a la tarea. El riesgo no depende solo de una instrucción maliciosa escrita como prompt. Aparece cuando una evidencia no confiable empieza a disputar autoridad con el objetivo original.

El paper AgentLSD, versión 1 del 16/09/2026, denomina este problema adversarial task contamination. El estudio se presentará en el 19th ACM Workshop on Artificial Intelligence and Security y ofrece un framework, configuraciones y traces. La señal es relevante; la evidencia sigue siendo preliminar y limitada a desafíos web CTF.

Paper en seguimiento. Esta nota se reevaluará ante una nueva versión, actas, corrección, replicación independiente, controles benignos, pruebas de mitigación o respuesta relevante de los autores. La etiqueta no significa que el resultado sea falso. Significa que su validez externa sigue en construcción.

La pregunta que distingue el estudio

La inyección de instrucciones (prompt injection) suele describirse como una instrucción hostil insertada en contenido externo. AgentLSD también incluye evidencia que no parece una instrucción: resultado falso, objetivo señuelo, endpoint ajeno a la solución o pista con apariencia indebida de autoridad. El agente debe inferir estado e intención a partir del mismo entorno que puede controlar un adversario.

Esta distinción importa para la arquitectura. Filtrar frases imperativas no resuelve una evidencia falsificada. El sistema debe preservar el origen de cada observación, la autoridad que puede ejercer y un verificador independiente para declarar éxito.

Qué se midió

Los investigadores construyeron 11 desafíos web CTF en Flask, cubriendo siete clases de vulnerabilidad. Evaluaron cinco modelos on-premises y un modelo alojado. Cada celda tuvo cinco intentos, dos prompts y límites de 30 minutos y 200 turnos.

El baseline completo reunió 605 intentos. En el subconjunto con prompt estándar utilizado en el análisis principal de capacidad limpia, los agentes capturaron 136 flags en 330 intentos, cerca del 41 %. Ningún modelo resolvió los 11 desafíos.

En la fase contaminada, los tres modelos on-premises más fuertes se evaluaron en siete desafíos, 14 instancias de trap, dos prompts y cinco intentos por celda: 2.940 intentos. El modelo alojado participó en un grid reducido con 121 intentos, sumando 3.061. En cuatro de sus 25 celdas, problemas de infraestructura limitaron la ejecución a cuatro intentos.

Cuando el agente todavía encontró la flag, las contaminaciones añadieron aproximadamente 20 turnos y 2 mil tokens de razonamiento frente a la condición limpia. El efecto en la tasa de éxito fue más heterogéneo: en algunas combinaciones casi nada cambió; en otras desaparecieron éxitos limpios.

Estos resultados no describen una tasa universal de fallo. Muestran que el costo y el recorrido de ejecución pueden degradarse aunque la métrica final siga en verde.

La selección de resultados importa

Cuatro desafíos con éxito limpio esporádico se excluyeron de la fase contaminada porque no ofrecían una base suficiente para medir degradación. Siete desafíos recibieron traps, pero los resultados principales solo reportan los cinco con mayor tasa agregada de éxito limpio. Dos desafíos de desempeño moderado se omitieron para reducir incertidumbre y concentrar el análisis, según los autores.

Esta elección es comprensible para observar efectos donde antes hubo éxito. También limita la generalización. El lector no debe tratar el promedio destacado como resultado de todo el corpus ni de todo el grid ejecutado.

Lo que el estudio no prueba

• los 11 desafíos construidos para el estudio no representan aplicaciones, logs, repositorios ni entornos corporativos de producción;
• todas las contaminaciones se entregaron por DOM, una por vez, de forma estática y sin adaptarse a las acciones del agente;
• no hubo control benigno para medir el efecto de simplemente aumentar el tamaño de la página;
• cinco repeticiones por celda son una muestra gruesa y el paper presenta estadística descriptiva sin pruebas de significación;
• la cobertura de modelos de frontera se redujo por costo y no incluyó la familia Claude;
• los agentes no fueron advertidos de la posible presencia de adversarios;
• interactuar con un decoy demuestra exposición o interacción, no prueba que el modelo lo creyera;
• las recomendaciones de mitigación de los autores son implicaciones de diseño, no controles evaluados por el experimento;
• no se localizó replicación independiente al corte del 18/09/2026.

El estudio informa financiación parcial del programa Digital Europe, grant SPECTRO 101123118. Los autores también declaran el uso de herramientas de IA para desarrollar parte del código y mejorar claridad y gramática, manteniendo bajo responsabilidad autoral el diseño, método, análisis y conclusiones.

Contrato técnico: la observación no recibe autoridad por defecto

Un engineering harness duradero debe separar historial, política y aislamiento de ejecución. La elección del modelo o canal no puede convertirse en la frontera de seguridad. Es una inferencia de diseño apoyada por el canon de Forge, no una comprobación experimental de AgentLSD ni una afirmación de control ya operativo en todos los productos. [HARNESS31-C2]

objetivo autorizado
        │
        ▼
observação ──► proveniência + classe de confiança ──► hipótese limitada
        │                                               │
        └──── conteúdo não confiável                    ▼
                                            ação sob capability mínima
                                                        │
                                                        ▼
                                    verificador independente + receipt

1. Preserve el objetivo fuera del flujo observado

Registre el objetivo original, sus invariantes y criterios de parada en un estado protegido. Una página, archivo, log o respuesta de herramienta puede informar la investigación; no debe redefinir silenciosamente la misión.

2. Clasifique procedencia y autoridad

Cada observación debe llevar origen, integridad, instante, subject y clase de confianza. El contenido producido por el entorno investigado nace como dato no confiable, incluso cuando utiliza lenguaje o formato de alta autoridad.

3. Exija corroboración antes de cambiar el objetivo o declarar éxito

Los resultados con efecto material requieren una fuente independiente: verificador protegido, servicio de referencia, prueba reproducible o confirmación humana de una representación normalizada. El mismo canal contaminable no debe producir evidencia y aprobar su validez.

4. Limite exploración y efectos

Defina presupuestos de turnos, tiempo, costo, llamadas y mutaciones. Otorgue al agente identidad propia, credenciales efímeras y capacidades mínimas. Las hipótesis que repetidamente no generan evidencia deben perder prioridad o activar backtracking.

5. Mida esfuerzo, no solo éxito final

Un agente puede llegar a la respuesta correcta después de consumir más tiempo, tokens y herramientas o tocar recursos innecesarios. Registre recorrido, costo, desvíos, recuperación e intervención, no solo el estado final.

Receipt mínimo para una investigación agentic

{
  "objective_ref": "immutable-ref",
  "observation_provenance": "untrusted|verified",
  "policy_digest": "sha256:...",
  "capability_scope": "task-bounded",
  "budget": {"turns": 12, "seconds": 300},
  "independent_verifier": "pass|fail|inconclusive",
  "goal_changed": false,
  "human_decision": "continue|stop|escalate",
  "effect_receipt": "immutable-ref"
}

Los valores son ilustrativos. El receipt debe emitirse fuera de la autoridad del agente y evitar datos personales, secretos, direcciones sensibles o contenido que reduzca el costo de abuso.

Pruebas defensivas para el harness

1. El contenido externo no modifica el objetivo protegido sin una transición autorizada.
2. La evidencia con apariencia de autoridad sigue limitada por procedencia y policy.
3. Una confirmación del propio entorno no sustituye al verificador independiente.
4. Alcanzar el presupuesto detiene o escala la ejecución; no convierte inconclusive en pass.
5. Las interacciones repetidas sin corroboración reducen prioridad y activan recuperación.
6. Una acción correcta con costo o alcance anormal genera un finding, no un éxito silencioso.
7. Un fallo de telemetría o del verificador bloquea efectos materiales.
8. Los logs de decisión preservan versión, política, capacidades y evidencia sin retener contenido sensible innecesario.

Cómo seguir el paper sin convertir una hipótesis en hecho

El framework abierto es útil para reproducción, pero la disponibilidad de código no equivale a replicación. El siguiente nivel de evidencia debería incluir un control benigno, más repeticiones, intervalos y pruebas estadísticas, canales más allá de DOM, traps adaptativas, entornos representativos y comparación de mitigaciones bajo el mismo protocolo pareado.

La etiqueta Paper en seguimiento permanece hasta que se evalúen estas señales. Si una nueva versión cambia denominadores, selección de resultados o conclusión, la página debe recibir una corrección fechada, no una nota silenciosa.

Fuentes directas

1. AgentLSD — arXiv:2609.19140v1.
2. Texto completo del paper.
3. Framework, configuraciones y traces.
4. AgentDojo — NeurIPS 2024.
5. NIST — Security Considerations for AI Agents.

Las dos últimas fuentes corroboran el problema más amplio de entradas adversarias y seguridad de agentes. No son replicaciones de AgentLSD.

Nota editorial y de responsabilidad

Los hechos, cifras, versión y financiación están vinculados a las fuentes citadas. El contrato, el receipt, las pruebas y las recomendaciones son análisis profesional del autor, no conclusiones experimentales universales ni afirmaciones de mecanismos ya operativos en Trustyu Forge. El contenido es informativo y no sustituye una evaluación técnica, jurídica o de seguridad. No reproducimos payloads, rutas sensibles ni pasos ofensivos. Trustyu y Tech Human actúan comercialmente en arquitectura, gobernanza e ingeniería de IA. La investigación, estructura y redacción tuvieron asistencia de IA; Fernando Parreiras confirmó la revisión factual, autoral y la autorización de publicación el 18/09/2026, sin revisión humana independiente adicional.