El modelo mejor defendido sigue perdiendo
La inyección de prompts —instrucciones coladas en los datos que lee un agente, en un correo, un documento o una página web— es el ataque que más citan quienes construyen agentes y contra el que menos éxito tienen. Un artículo publicado en arXiv el 30 de octubre pone una cifra a ese fracaso.
Meta-SecAlign es, según los autores, el modelo de lenguaje abierto mejor defendido disponible. Bajo inyecciones de prompt adaptativas —ataques escritos conociendo la defensa, y no contra una plantilla fija— sus tasas de éxito de ataque se acercan al 100%.
Por qué el problema está en el objetivo de entrenamiento
El diagnóstico del artículo apunta a la función de pérdida, no a los datos. Meta-SecAlign se entrena con DPO, que optimiza un modelo en relación con un modelo de referencia. Esa referencia es la versión sin defender del mismo modelo, que es insegura, de modo que el entrenamiento ancla el modelo defendido a un objetivo inseguro.
Los autores sostienen que una referencia idealizada —un modelo invariante a las instrucciones inyectadas que conserve su utilidad— puede aproximarse, porque su distribución de salida durante el entrenamiento resulta ser accesible. Sobre esa observación construyen su pérdida alternativa, SecPO.
Dos cambios, medidos por separado
La segunda crítica es que Meta-SecAlign se entrena contra ataques simulados débiles. Los autores construyeron una cadena de entrenamiento adversario que sintetiza entradas inyectadas fuertes, eligiendo la mejor de 240 candidatas por ejemplo, y entrenaron con ellas.
Informan de los dos cambios por separado, que es lo que hace legible el resultado. El entrenamiento adversario por sí solo reduce las tasas de éxito de ataque entre 1,5 y 14,5 veces frente a tres ataques adaptativos del estado del arte, comparado con Meta-SecAlign. Cambiar DPO por la pérdida SecPO las reduce otras 2,4 a 4,6 veces.
La cifra agéntica
El dato de titular viene de AgentDojo, un banco de pruebas para agentes que usan herramientas. Bajo el ataque AttackerMovesSecond con 800 intentos, el modelo de los autores con SecPO más entrenamiento adversario, construido sobre Qwen3.6-27B, registra una tasa de éxito de ataque del 8,8%, frente al 78,8% de Meta-SecAlign.
También informan de que no hay pérdida apreciable de utilidad benigna en nueve bancos de pruebas sobre llamadas a herramientas por agentes, la objeción habitual a un modelo endurecido: que acabe siendo inútil además de seguro.
Lo que esto es y lo que no
Son cifras de los propios autores sobre su propio método, no una evaluación independiente, y la referencia que superan es un modelo defendido concreto. Los ataques adaptativos son además un blanco móvil por definición: un atacante que escriba contra SecPO, y no contra defensas entrenadas con DPO, es otro experimento que este artículo no realiza.
Lo que sí establece es que la distancia entre una defensa publicada y un atacante adaptativo decidido era casi total, y que la elección del modelo de referencia en el objetivo de entrenamiento era parte del motivo.
Qué vigilar
El seguimiento útil es que otro ataque este modelo. Una tasa de éxito del 8,8% bajo un ataque diseñado antes de que existiera la defensa es una afirmación sobre la generación anterior de ataques, no sobre la siguiente. Habrá que mirar ejecuciones independientes de AgentDojo y si los laboratorios que llevan agentes a producción adoptan la pérdida SecPO.
