Los atacantes están redactando correos con dos capas: el mensaje visible, pensado para engañar a la persona, y unas instrucciones ocultas en el código, dirigidas al asistente de inteligencia artificial que resume la bandeja de entrada. Lo documenta Barracuda en un informe del 7 de octubre firmado por su analista de amenazas Guruprasad Kenja, a partir de una campaña real analizada por la compañía.
Conviene decirlo de entrada, porque la técnica de fondo no es nueva: la inyección indirecta de prompt se sistematizó ya en febrero de 2023, en un trabajo académico que describía cómo colar instrucciones en el contenido que lee el modelo, y es el riesgo número uno del catálogo de OWASP para aplicaciones con modelos de lenguaje. Lo que aporta Barracuda es el diseño de doble objetivo.
Donde el ojo no llega pero el modelo sí. El informe describe cuatro técnicas:
El correo de muestra que analiza Barracuda tiene además rasgos pensados para esquivar los filtros: remitente y destinatario son el mismo buzón, procede de un dominio del sector público, arrastra una puntuación de confianza favorable y lleva un adjunto protegido con contraseña, con la contraseña escrita en el cuerpo del mensaje. Eso crea un punto ciego para los controles tradicionales, que no pueden abrir el archivo.
