Forcepoint mostró mediante una prueba conceptual cómo el contenido oculto en una web puede terminar almacenado como información fiable y reaparecer en tareas futuras. Estudios y guías independientes reconocen la memoria persistente como una superficie de ataque emergente.
La capacidad de recordar preferencias, instrucciones y decisiones anteriores hace más útiles a los agentes de inteligencia artificial, pero también crea un lugar en el que un atacante podría dejar información manipulada. A diferencia de una inyección de instrucciones limitada a una conversación, el denominado envenenamiento de memoria busca influir en tareas ejecutadas días, semanas o meses después.
Forcepoint X-Labs describió el 4 de agosto de 2026 una demostración conceptual en la que un agente con acceso a páginas web almacena como recuerdo una instrucción oculta. La propia publicación advierte que el ejemplo es una simulación simplificada, no código de producción ni la documentación de un ataque completo contra una plataforma comercial.
Un ataque que busca persistencia
En el escenario planteado, una página aparentemente legítima incluye texto destinado al agente y oculto para el visitante humano. Una herramienta extrae el contenido del documento y lo entrega al modelo como texto plano. Si el sistema no diferencia adecuadamente entre datos externos e instrucciones fiables, puede guardar en su memoria un proveedor, un dominio o un contacto falso.
Cuando el usuario formula posteriormente una consulta relacionada, el agente recupera ese recuerdo y puede presentar la información manipulada como si fuera legítima. El ataque combina así la inyección indirecta de instrucciones con un mecanismo de memoria que conserva datos entre sesiones.
El problema general de la inyección indirecta está documentado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos, que ha evaluado cómo instrucciones insertadas en datos externos pueden desviar el comportamiento de los agentes. La memoria persistente agrega una dimensión temporal porque permite que la información contaminada sobreviva a la interacción inicial.
Un preprint publicado en junio de 2026 estudió sistemáticamente este tipo de ataque e identificó distintos canales de escritura y vulnerabilidades arquitectónicas. Sus autores concluyeron que los agentes que escriben y recuperan recuerdos con mayor intensidad tienden a ofrecer más oportunidades de explotación. Al tratarse de un trabajo preliminar, sus resultados todavía deben interpretarse con las cautelas propias de una publicación sin revisión formal por pares.
El impacto depende de la arquitectura
No todos los asistentes están expuestos de la misma manera. El riesgo aumenta cuando un sistema incorpora memoria modificable, consume contenido externo sin controles de procedencia y dispone de herramientas para realizar acciones. En un asistente limitado, el resultado podría ser una recomendación falsa. En un agente con permisos empresariales, la información contaminada podría influir en la selección de proveedores, contactos de soporte, procedimientos internos o flujos de aprobación.
La existencia de memoria tampoco implica por sí sola una vulnerabilidad explotable. El alcance depende de qué datos puede leer el agente, cómo decide qué conservar, qué privilegios recibe y si una persona debe confirmar las acciones sensibles.
Controles antes de confiar en un recuerdo
Forcepoint propone tratar cada nuevo elemento de memoria como información no fiable hasta verificarlo. Entre los controles posibles figuran registrar su origen, detectar contradicciones con datos ya aprobados, elevar el riesgo cuando aparece un dominio o proveedor desconocido y solicitar confirmación humana antes de guardar cambios sensibles.
La guía de seguridad para agentes de OWASP recomienda además aplicar privilegios mínimos, separar los datos de las instrucciones, validar las entradas procedentes de fuentes externas, registrar la actividad y repetir las pruebas de seguridad cuando cambien la memoria, las herramientas o el proveedor del modelo.
Para las organizaciones, la medida más importante es evitar que la memoria funcione como una base de datos que convierte automáticamente cualquier contenido leído en un hecho confiable. La procedencia, el historial de modificaciones y la validación al recuperar información deben formar parte del diseño, especialmente cuando un agente puede ejecutar acciones con consecuencias operativas.
Fuentes
- Forcepoint X-Labs
- NIST
- From Untrusted Input to Trusted Memory: A Systematic Study of Memory Poisoning Attacks in LLM Agents
- OWASP AI Agent Security Cheat Sheet
Ilustración creada por IA.
📬 Newsletter gratuito
