Investigadores de Google DeepMind han publicado un estudio exhaustivo que revela que los agentes de IA autónomos que navegan por la web son profundamente vulnerables a una nueva clase de ataques llamados «Trampas para Agentes de IA», que consisten en contenido adversarial diseñado en sitios web y recursos digitales para manipular, engañar o explotar a los sistemas de IA que los visitan.

La investigación, realizada por Matija Franklin, Nenad Tomaev, Julian Jacobs, Joel Z. Leibo y Simon Osindero, representa el primer marco sistemático conocido para entender esta emergente superficie de amenazas.

A medida que los agentes de IA operan de forma cada vez más autónoma —ejecutando transacciones financieras, navegando por sitios web, gestionando correos electrónicos y llamando a APIs externas—, el entorno de información en sí se ha convertido en un vector de ataque hostil.

Un marco de amenazas en seis categorías

El artículo clasifica las Trampas para Agentes de IA en seis tipos distintos de ataques, cada uno dirigido a un componente diferente de la arquitectura operativa de un agente.

Trampas de Inyección de Contenido explotan la brecha estructural entre cómo los humanos perciben visualmente una página web y cómo los agentes de IA analizan su código subyacente. Los atacantes pueden incrustar instrucciones maliciosas dentro de comentarios HTML, texto posicionado con CSS de forma invisible o incluso en los datos binarios de píxeles de imágenes mediante técnicas esteganográficas, comandos que son completamente invisibles para los moderadores humanos pero que son procesados activamente por el agente de IA. Estudios citados en el artículo encontraron que inyectar instrucciones adversariales en metadatos HTML y etiquetas aria-label alteró los resúmenes generados por IA en un 15–29% de los casos probados, mientras que inyecciones simples escritas por humanos tomaron parcialmente el control de los agentes en hasta un 86% de los escenarios.

Trampas de Manipulación Semántica corrompen el razonamiento de un agente sin emitir comandos explícitos, sino saturando el contenido con efectos de encuadre, frases sesgadas y lenguaje de apariencia autoritaria que distorsionan estadísticamente las conclusiones del agente. Estas trampas también pueden envolver instrucciones maliciosas dentro de un marco «educativo» o de «red-teaming» para eludir filtros de seguridad, una táctica confirmada en múltiples conjuntos de datos de jailbreaks a gran escala.

Trampas de Estado Cognitivo apuntan a la memoria a largo plazo y las bases de conocimiento de un agente. El Envenenamiento de Conocimiento RAG, por ejemplo, inyecta declaraciones falsas en corpus de recuperación para que los agentes traten el contenido controlado por el atacante como un hecho verificado. La investigación citada en el artículo demostró que envenenar tan solo unos pocos documentos en una gran base de conocimiento puede manipular de manera confiable las salidas del modelo para consultas específicas, con tasas de éxito de ataques de memoria con puerta trasera superiores al 80% con menos del 0,1% de envenenamiento de datos.

Trampas de Control de Comportamiento secuestran directamente las acciones de un agente. Las Trampas de Exfiltración de Datos obligan a los agentes a localizar y transmitir datos sensibles del usuario a endpoints controlados por el atacante, con tasas de éxito superiores al 80% en cinco agentes probados. Las Trampas de Generación de Subagentes explotan privilegios a nivel de orquestador para instanciar subagentes controlados por el atacante dentro de flujos de trabajo confiables, permitiendo la ejecución arbitraria de código y la exfiltración de datos con tasas de éxito del 58–90%, dependiendo del orquestador.

Trampas Sistémicas aprovechan la dinámica de múltiples agentes, usando señales ambientales coordinadas para desencadenar fallos a nivel macro, como caídas repentinas del mercado, eventos de denegación de servicio impulsados por IA o ataques Sybil en los que identidades de agentes falsificados manipulan la toma de decisiones grupales.

Trampas con Humanos en el Bucle completan la taxonomía: estas secuestran al agente como vector para atacar a supervisores humanos, explotando sesgos cognitivos como el sesgo de automatización y la fatiga de aprobación para lograr que los operadores autoricen acciones maliciosas. Informes de incidentes ya documentan casos en los que indicaciones inyectadas mediante CSS invisible hicieron que herramientas de resumen de IA transmitieran instrucciones para instalar ransomware como si fueran orientaciones legítimas de «solución».

Uno de los hallazgos más alarmantes es la viabilidad del Camuflaje Dinámico, donde servidores web maliciosos identifican a los visitantes entrantes mediante atributos del navegador y artefactos de frameworks de automatización para detectar si el visitante es un agente de IA. Si es identificado, el servidor sirve una página visualmente idéntica pero semánticamente diferente, incrustada con cargas útiles de inyección de prompts que ordenan la exfiltración de variables de entorno o el mal uso de las herramientas del agente, algo que los visitantes humanos nunca ven.

Los investigadores proponen tres capas de defensa: el endurecimiento de modelos mediante entrenamiento adversarial y principios de IA Constitucional; defensas en tiempo de ejecución, incluyendo filtros de fuentes previas a la ingesta, escáneres de contenido y monitores de anomalías de comportamiento; e intervenciones a nivel de ecosistema, como nuevos estándares web para contenido consumible por IA, sistemas de reputación de dominios y transparencia obligatoria en las citas de los sistemas de generación aumentada por recuperación.

El artículo también identifica una Brecha de Responsabilidad crítica cuando un agente comprometido comete un delito financiero: la responsabilidad legal entre el operador del agente, el proveedor del modelo y el propietario del dominio sigue sin resolverse, un vacío que debe abordarse antes de que los agentes de IA puedan ingresar de manera segura a industrias reguladas.

«La web fue construida para ojos humanos —ahora está siendo reconstruida para lectores máquina», concluyen los investigadores. «La pregunta crítica ya no es solo qué información existe, sino en qué creerán nuestras herramientas más poderosas».