Qué divulgó OpenAI
OpenAI publicó el 25 de septiembre un informe que describe lo que llama una inyección de prompt autorreplicante: una instrucción inyectada que logra un objetivo hostil y, además, induce al modelo a reproducir esa misma instrucción en un canal de salida público, de modo que pueda llegar al siguiente agente.
El encuadre es cuidadoso. “No se observó impacto fuera de las llamadas a herramientas simuladas en el entrenamiento y la evaluación”, dice el informe. “Lo compartimos por la naturaleza novedosa de la inyección de prompt, no por ningún incidente”. La fecha de descubrimiento que se da es el 27 de junio; la de divulgación, el 25 de septiembre.
Cómo se encontró
OpenAI entrena a sus modelos contra la inyección de prompts con un marco de autojuego que llama GPT-Red, en el que un modelo atacante escribe inyecciones y un modelo defensor es el objetivo. Rondas anteriores dieron con inyecciones orientadas a la exfiltración de datos, el borrado de archivos y salidas engañosas.
Para este trabajo se dio al atacante un objetivo adicional: la inyección tenía que conseguir que el defensor repitiera la inyección en un canal público. Los entornos objetivo fueron tareas de entrenamiento de capacidades, con especial énfasis en las que implican conectores: correo, calendario y similares.
La respuesta fue que sí, existen.
Cómo son los ataques
El ejemplo más claro de OpenAI llega como un correo electrónico. El usuario pide al asistente que responda y reserve una sesión de entrenamiento. El mensaje entrante lleva una instrucción administrativa de apariencia plausible —responder en un idioma concreto y añadir una cita literal de todo el correo para que el sistema de agenda pueda indexarlo— y el asistente obedece, reenviando la carga útil en su respuesta.
Otras variantes se replican a través del sistema de archivos o se escriben en comentarios de código. OpenAI describe estilos de ataque que incluyen cadenas de razonamiento falsas y mensajes de herramienta falsos, e inyecciones de varios saltos en las que un mensaje lleva al agente a otros que, juntos, producen la acción no autorizada y la propagación. Un ejemplo imita una advertencia falsa del sistema que lleva al modelo a borrar informes y a escribir la advertencia en un archivo; otro se hace pasar por una nota de compactación que convence al modelo de desactivar un escaneo de seguridad en un script de compilación y guardar la nota literalmente.
Qué modelos, y qué viene después
El modelo atacante y el vulnerable en los casos de correo y sistema de archivos eran puntos de control de investigación solo internos basados en GPT-5.4-mini. Una evaluación aparte de varios saltos usó GPT-5.5 como modelo vulnerable, con el ataque descubierto por GPT-5.5 ejecutándose en el entorno de Codex.
OpenAI dice que ahora incluye la autorreproducción como objetivo del atacante en el entrenamiento de GPT-Red, de modo que los futuros modelos publicados habrán visto inyecciones de esta forma durante el entrenamiento y deberían resistirlas mejor. Señala que el entrenamiento del atacante de GPT-Red se ejecuta en sus clústeres de investigación de máxima seguridad.
Por qué importa más allá de OpenAI
La inyección de prompts se ha entendido como un problema por conversación: alguien planta una instrucción en contenido que el modelo lee y el modelo hace algo que no debería. La replicación cambia la aritmética. Una inyección que convence a un agente de reenviarla convierte un solo documento o buzón comprometido en algo que se propaga por los canales que los agentes usan para hablar entre ellos y con las personas.
El apéndice del informe cita una línea de trabajo académico sobre exactamente esto, desde investigaciones de 2025 sobre prompts autorreplicantes adversarios hasta artículos más recientes sobre ataques autopropagantes en ecosistemas de agentes. La aportación de OpenAI es un laboratorio que encuentra la categoría en sus propios modelos, a propósito, y lo dice.
Qué vigilar
Si otros laboratorios publican hallazgos equivalentes, y si la robustez que OpenAI espera de entrenar con inyecciones autorreproductoras aparece de forma medible. La defensa que aquí se reivindica es de tiempo de entrenamiento, lo que significa que solo será comprobable cuando se publiquen los modelos entrenados con ella.
