La mayoría de nosotros (y yo me incluyo) damos por hecho que una inteligencia artificial es algo casi infalible. Responde con seguridad, analiza millones de datos y parece que sabe de todo, aparentemente entiende el lenguaje humano, en fin, que resulta fácil pensar que está protegida frente a engaños, no?
Pues no. La realidad es bastante distinta. Las IA no solo pueden ser atacadas: están convirtiéndose en uno de los objetivos favoritos de los ciberdelincuentes.
Hay que engañar a la máquina, no atacarla
Lo curioso es que muchas de las técnicas utilizadas no consisten en vulnerar servidores ni explotar fallos de software tradicionales. En numerosas ocasiones, los atacantes intentan algo mucho más simple: engañar a la propia inteligencia artificial. Es una situación paradójica. Sistemas desarrollados para interpretar instrucciones humanas terminan siendo manipulados precisamente a través del lenguaje.
Durante los últimos dos años ha surgido una nueva disciplina dentro de la ciberseguridad centrada específicamente en la protección de modelos de inteligencia artificial. La aparición masiva de asistentes basados en grandes modelos de lenguaje, agentes autónomos y herramientas corporativas impulsadas por IA ha abierto una superficie de ataque completamente nueva. Empresas tecnológicas, organismos públicos y equipos de seguridad están descubriendo que proteger una IA requiere medidas diferentes a las empleadas en aplicaciones convencionales.
Prompt injection: manipular mediante instrucciones
Una de las técnicas más conocidas es el llamado prompt injection. En términos sencillos, consiste en introducir instrucciones diseñadas para alterar el comportamiento original del modelo. Imaginemos una IA empresarial configurada para resumir correos electrónicos y extraer información relevante. Un atacante podría incluir mensajes ocultos dentro de un documento para intentar que el sistema ignore sus restricciones o revele información que no debería mostrar. Es algo parecido a convencer a un empleado para que desobedezca las normas internas, pero trasladado al ámbito de una máquina.
Lo fascinante de estos ataques es que no explotan necesariamente una vulnerabilidad técnica. Aprovechan el modo en que los modelos interpretan el lenguaje. Mientras que una aplicación tradicional procesa instrucciones siguiendo reglas rígidas, una IA trabaja con probabilidades y contexto. Esa flexibilidad, que constituye una de sus mayores virtudes, también se convierte en un punto débil potencial.
Envenenamiento de datos: directo al corazón
Otra técnica cada vez más habitual es el envenenamiento de datos o data poisoning. En este caso, el objetivo es contaminar la información utilizada para entrenar o actualizar un modelo. Si un atacante consigue introducir datos manipulados durante ese proceso, puede provocar respuestas erróneas, sesgadas o incluso peligrosas. El riesgo resulta especialmente preocupante en sistemas de IA utilizados para análisis financieros, detección de fraude, recomendaciones médicas o automatización industrial, donde una decisión incorrecta puede tener consecuencias importantes.
Robo y extracción de modelos
Existe además una categoría de ataques denominada model extraction. Aquí el interés del ciberdelincuente no es alterar el funcionamiento del sistema, sino copiarlo. A través de miles o millones de consultas cuidadosamente diseñadas, un atacante puede intentar reconstruir parcialmente el comportamiento de un modelo propietario. Pensemos en una empresa que ha invertido millones de euros en desarrollar una IA especializada. Si un competidor o grupo criminal consigue replicar parte de sus capacidades, el impacto económico puede ser considerable.
Fugas de información y privacidad
No menos preocupantes son los ataques de fuga de información. Los modelos de inteligencia artificial procesan enormes cantidades de datos y, en ocasiones, pueden conservar rastros de esa información durante su entrenamiento. Investigadores de seguridad han demostrado que determinadas técnicas permiten intentar extraer fragmentos de datos sensibles presentes en los conjuntos de entrenamiento o en conversaciones anteriores. Aunque los proveedores han incorporado numerosas protecciones, el riesgo sigue siendo objeto de estudio constante.
El riesgo de los agentes autónomos
La llegada de los agentes autónomos añade una capa adicional de complejidad. Ya no hablamos únicamente de una IA que responde preguntas. Muchas organizaciones están desplegando sistemas capaces de acceder a calendarios, bases de datos, herramientas CRM, plataformas cloud o aplicaciones empresariales. Si un atacante consigue manipular las instrucciones que recibe uno de estos agentes, podría inducirle a realizar acciones que normalmente requerirían intervención humana. No se trata de que la IA «se vuelva maliciosa», sino de que actúe siguiendo órdenes cuidadosamente diseñadas para beneficiar al atacante.
Hay otro fenómeno especialmente interesante: los ataques adversariales. En este escenario, pequeñas modificaciones prácticamente imperceptibles para las personas pueden provocar errores significativos en determinados modelos. Un sistema de visión artificial podría interpretar incorrectamente una imagen alterada de forma sutil. Aunque este tipo de ataques suele asociarse a entornos de investigación, también genera preocupación en sectores como la conducción autónoma, la videovigilancia inteligente o los sistemas industriales automatizados.
¿Y ahora qué hacemos para defender nuestras herramientas?
Para las empresas, la principal lección es que la seguridad de la inteligencia artificial no puede limitarse a proteger servidores, redes o identidades digitales. Es necesario supervisar los datos utilizados por los modelos, controlar qué herramientas pueden utilizar los agentes inteligentes, auditar las respuestas generadas y establecer mecanismos que permitan detectar comportamientos anómalos. En cierto modo, estamos aprendiendo a gestionar una nueva clase de empleado digital que puede ser tan productivo como vulnerable a la manipulación.
Cuidado con los datos que compartimos
Los usuarios tampoco están exentos de responsabilidad. Cada vez que compartimos información sensible con plataformas de IA, debemos preguntarnos dónde se almacenan esos datos, quién puede acceder a ellos y qué políticas aplica el proveedor. La comodidad suele llevarnos a introducir documentos, contratos o información privada sin pensar demasiado en las implicaciones. Sin embargo, la popularización de estas herramientas obliga a adoptar hábitos de seguridad similares a los que desarrollamos hace años con el correo electrónico o el almacenamiento en la nube.
Personalmente, lo que más me llama la atención de este fenómeno es que muchos de los ataques contra la inteligencia artificial se parecen sorprendentemente a las técnicas clásicas de ingeniería social. Durante décadas, los ciberdelincuentes han intentado engañar a las personas para obtener información o acceso. Ahora están intentando engañar a las máquinas utilizando el mismo recurso: la comunicación. Quizá la gran ironía de la revolución de la IA sea que, después de invertir enormes recursos en crear sistemas capaces de comprender nuestro lenguaje, hemos descubierto que también pueden ser confundidos por él.