El envenenamiento de IA no es una sola técnica. Es una categoría con tres formas distintas que operan en diferentes puntos de cómo funcionan los sistemas de IA.
Envenenamiento de datos de entrenamiento
Esto ocurre antes de que la mayoría de los usuarios interactúen con una IA. Los modelos de aprendizaje automático aprenden de grandes conjuntos de datos, y si un atacante puede influir en ese conjunto de datos, puede enseñarle al modelo a comportarse de forma incorrecta en situaciones específicas y dirigidas.
Inyecta registros médicos falsos en los datos de entrenamiento de una IA de salud, y clasificará mal los diagnósticos. Alimenta registros de tráfico de red manipulados a una IA de seguridad, y aprenderá a malinterpretar ciertos ataques potenciales. El modelo cree que está funcionando correctamente. Ha sido guiado para tener puntos ciegos.
Este puede ser un ataque más lento y sofisticado, pero el daño se acumula con cada decisión que toma el modelo comprometido.
Envenenamiento de resultados de búsqueda de IA
Este es el tipo con el que la mayoría de los usuarios y empleados comunes se topan ahora mismo, y no requiere ninguna sofisticación técnica.
Los asistentes de IA como AI Overviews de Google, ChatGPT y Copilot generan respuestas extrayendo contenido web que pueden encontrar e indexar. Los atacantes aprovechan esto sembrando la web con páginas engañosas: números falsos de atención al cliente que conectan con centros de llamadas de la estafa, enlaces de descarga maliciosos disfrazados de software legítimo, e instrucciones inventadas que ejecutan un ataque.
El usuario no hace clic en un enlace sospechoso. La IA simplemente le dice algo incorrecto, con confianza, en lenguaje sencillo, sin una URL que cuestionar.
El investigador de seguridad Bruce Schneier demostró esto en menos de 24 horas: al publicar un solo artículo inventado en un sitio web personal, logró que tanto Google AI Overviews como ChatGPT repitieran los "hechos" inventados como verdad a cualquiera que preguntara.
Cuando un agente de IA opera de forma autónoma navegando la web, resumiendo documentos, ejecutando flujos de trabajo, los atacantes pueden incrustar instrucciones ocultas dentro del contenido que el agente procesa. Esas instrucciones redirigen el comportamiento del agente: exfiltrar datos, saltarse reglas de seguridad y tomar acciones que el usuario nunca autorizó.
El envenenamiento de memoria lleva esto más lejos. Los agentes de IA que retienen contexto entre sesiones pueden tener información falsa inyectada en esa memoria, corrompiendo cada decisión que tomen en adelante.
