Un ataque sin ningún mensaje malicioso dentro
Las empresas están delegando trabajo de consecuencias en sistemas de agentes de modelos de lenguaje que se pasan estado y mensajes entre sí. Un benchmark publicado en arXiv el 8 de noviembre apunta a un modo de fallo que esos sistemas crean y que las pruebas de un solo agente no pueden ver: una petición de apariencia benigna que escala hasta una acción insegura a medida que se propaga entre sesiones, a través de estado compartido envenenado, documentos de contexto largo y mensajes de agentes de confianza. Ningún mensaje es malicioso; la llamada a herramienta que acaba disparándose sí lo es.
Los autores llaman a esto decaimiento de la alineación y construyeron ErosionBench para medirlo. Cada escenario se escribe como un grafo de estados determinista antes de redactar ninguna prosa, de modo que todo cambio de estado se remonta a una causa conocida: una decisión de diseño que importa, porque la alternativa es un benchmark cuyo propio texto narrativo hace un trabajo que el evaluador no puede auditar. El conjunto abarca cuatro dominios empresariales y cuatro mecanismos de decaimiento en 1.728 escenarios con controles benignos emparejados, etiquetados según el OWASP Top 10 para aplicaciones con LLM, más 198 ataques basados en imágenes, cada uno con su equivalente textual.
Se puntúa la llamada a herramienta, no el texto
El benchmark no califica la respuesta del modelo. Ejecuta el ataque y comprueba la llamada a herramienta realizada frente a la intención autorizada y su procedencia, mediante contratos deterministas. Esa distinción es el núcleo: las evaluaciones multiagente previas puntúan la salida final, lo que premia a un sistema que dice lo correcto mientras hace lo contrario.
El resultado principal trata de las defensas, no de los ataques. Las defensas perimetrales, informan los autores, frenan los ataques únicamente rechazando en exceso entre el 54% y el 92% del trabajo legítimo. Dicho de otro modo, una tasa baja de éxito de ataque puede esconder un rechazo excesivo severo, y por eso los controles benignos emparejados están en el diseño. Citada sin su tasa de rechazo, la cifra de éxito de ataque de una defensa casi no dice nada sobre si el sistema sigue siendo utilizable.
Un monitor que vigila la trayectoria
Como defensa de referencia, el artículo propone un Meta-Auditor calibrado que combina comprobaciones síncronas de estado con monitorización asíncrona de la trayectoria. En una partición retenida de 906 escenarios con familias disjuntas —ataques de familias para las que no fue calibrado— alcanza un 98,5% de recuperación con un 2,9% de falsos positivos.
Como vigila la trayectoria y no el contenido superficial, su detección es invariante al canal: el auditor más fuerte marca los ataques entregados por imagen con una fiabilidad similar a la de sus equivalentes en texto, con una diferencia de recuperación de dos puntos o menos por modelo. Es un hallazgo útil por sí solo. Las defensas que leen texto suelen derrumbarse cuando la misma instrucción llega como imagen, y emparejar cada ataque visual con un gemelo textual es lo que hace comprobable la afirmación.
Dónde difieren los auditores
El artículo evaluó modelos GPT, Gemini y Claude como auditores. La calibración mantiene bajos los falsos positivos en todos ellos, mientras que la recuperación sigue a la capacidad del modelo y es mayor con Claude. Es un recordatorio de que una capa de monitorización es también un modelo con su propio techo: la defensa vale lo que vale el modelo que vigila, y cambiar a un auditor más barato mueve la recuperación, no solo el coste.
Las cifras son de los propios autores y no se han reproducido de forma independiente. Lo que hay que vigilar es si el hallazgo sobre el rechazo excesivo aguanta frente a las defensas publicadas por los propios proveedores, que suelen presentarse con una tasa de éxito de ataque y ninguna cifra sobre el trabajo legítimo que bloquean.
