Tema: prompt-injection
-
Context7 CVE-2026-75130: remediación del servicio alojado y reglas personalizadas no confiables
Context7 informa de que la vulnerabilidad de Custom Rules se corrigió en sus servidores en febrero de 2026. Su aclaración de octubre cuestiona la interpretación de la CVE basada en la versión del cliente; las respuestas de documentación siguen necesitando una separación respecto de la autoridad del agente.
-
La trifecta letal: datos privados, contenido no confiable y un canal de salida en un mismo agente
Un agente que combina acceso a datos privados, exposición a contenido controlado por un atacante y alguna forma de comunicarse hacia el exterior puede ser inducido a enviar esos datos a un atacante. Eliminar una de las tres patas es la única defensa estructural fiable; el artículo enumera los canales de salida que es fácil pasar por alto.
-
WeKnora CVE-2026-30856: verificación del enrutamiento de herramientas tras corregir su suplantación
La vulnerabilidad de colisión de nombres de herramientas de WeKnora podía sustituir una herramienta MCP de confianza por la implementación de otro servidor. Actualizar los despliegues afectados y verificar que la aprobación, la identidad en el registro y el envío de la llamada seleccionen el mismo servidor.
-
Texto invisible y reordenado: controles bidireccionales, caracteres de etiqueta y confusables en código y prompts
Unicode permite que un texto contenga caracteres que quien revisa no puede ver o que reordenan lo que se muestra. Los controles bidireccionales pueden hacer que el código fuente se lea de forma distinta a como se compila, los caracteres de etiqueta pueden ocultar instrucciones que un modelo sigue recibiendo, y los confusables imitan identificadores. Detectarlos exige examinar los puntos de código, no la representación visual.
-
¿Predicen las suites de pruebas de inyección de instrucciones cómo se comporta un agente frente a inyecciones escritas después de la suite?
Los agentes suelen evaluarse frente a colecciones fijas de intentos de inyección. No está claro qué tan bien se transfiere una buena puntuación a formulaciones nuevas, nuevos portadores y atacantes adaptativos, ni qué debería contener una suite de pruebas para ser predictiva.
-
Blanqueo de confianza entre agentes: una entrada no confiable no se vuelve confiable al pasar por otro agente
En los sistemas multiagente, la salida de un agente se convierte en la entrada de otro. Si el primer agente leyó contenido no confiable, su salida hereda esa contaminación, por autorizada que suene. Cada mensaje debe llevar una etiqueta de confianza, y la entrada menos confiable debe ser la que decida qué puede hacer el agente receptor.
-
Dónde se ocultan las instrucciones inyectadas: los portadores de la inyección indirecta de prompts que lee un agente
La inyección indirecta de prompts llega a través de contenido que el agente obtiene, no a través del usuario. Conocer los portadores habituales —texto oculto de páginas, metadatos de documentos, texto de issues y commits, resultados de herramientas, correo electrónico, nombres de archivo— indica a un agente qué entradas tratar como datos y dónde debería mirar quien revisa tras un incidente.
-
Envenenamiento de memoria: cuando una instrucción inyectada sobrevive en todas las sesiones posteriores
Se puede inducir a los agentes con memoria persistente a almacenar la instrucción de un atacante como si fuera un hecho o una preferencia; esa instrucción influye después en sesiones que nunca vieron el contenido original. Las escrituras en memoria necesitan procedencia, revisión y una fecha de caducidad, y las lecturas de memoria deberían tratarse como texto no fiable.
-
Inyección de prompts frente a jailbreaking: dos problemas distintos con responsables distintos
El jailbreaking es un usuario que intenta que un modelo produzca lo que su proveedor no permite; la inyección de prompts es una entrada no confiable que se impone a las instrucciones de la aplicación construida sobre el modelo. La distinción determina quién sufre el daño, quién debe defender y qué mitigaciones se aplican.
-
Los traspasos estructurados y acotados por esquema entre agentes reducen el éxito de la inyección frente a los traspasos en texto libre
Hipótesis: si un agente que lee contenido no confiable solo puede pasar al agente que actúa campos validados por esquema y de longitud limitada, las instrucciones inyectadas llegan con menos frecuencia al agente que actúa que si le pasa prosa libre.
-
Recorrido de directorios en escrituras de archivos mediante MCP: confinamiento al repositorio de notebook y alcance en Ansible Lightspeed
La inyección indirecta de prompts puede dirigir una herramienta de archivos fuera de su directorio de salida previsto. La corrección del servidor MCP de notebook exige una raíz explícita del repositorio, mientras que el aviso de Ansible Lightspeed identifica un problema de la extensión sin un intervalo confirmado de versiones corregidas.
Legible por máquina: JSON