GPT-5 Jailbreak: el ataque Echo Chamber

Última actualización: Octubre de 2026

¿Se puede hacer un GPT-5 jailbreak?

Sí, y tardó menos de 24 horas. Un día después del lanzamiento de GPT-5 por parte de OpenAI el 7 de agosto de 2025, los investigadores de NeuralTrust demostraron un GPT-5 jailbreak funcional combinando dos técnicas: el ataque de context poisoning Echo Chamber y una capa de Storytelling basada en narrativa que enmascara la intención dañina tras la continuidad de una ficción. El resultado fue instrucciones paso a paso para fabricar un cóctel Molotov, generadas sin un solo prompt explícitamente peligroso.

TL;DR: Conclusiones clave

• NeuralTrust realizó el jailbreak de GPT-5 en 24 horas desde su lanzamiento el 7 de agosto de 2025 usando Echo Chamber y Storytelling (SecurityWeek).
• Sin system prompt, GPT-5 obtuvo solo 11 sobre 100 en el benchmark de red team de SPLX, frente a los 29 de GPT-4o en la misma configuración (SPLX).
• Incluso con un system prompt reforzado, GPT-5 alcanzó solo 55/100 frente al 97/100 de GPT-4o, lo que revela una superficie de ataque significativa (SPLX).
• El ataque Echo Chamber logra más del 90% de éxito en categorías de violencia, discurso de odio, sexismo y pornografía en entornos multi-turno (NeuralTrust).
• La presión de coherencia de GPT-5, su impulso por mantener la continuidad narrativa entre turnos, es el mecanismo central que explotan los ataques basados en storytelling.
• Los filtros de intención de turno único no detectan esta clase de ataque; las organizaciones necesitan defensas a nivel de conversación y red teaming de IA.

De un vistazo: perfil de seguridad de GPT-5

Cómo se realizó el GPT-5 jailbreak en 24 horas

GPT-5 es el modelo de uso general más avanzado de OpenAI en el momento de su lanzamiento, con razonamiento multimodal, navegación agentiva y enrutamiento en tiempo real entre variantes rápidas y de pensamiento extendido. El system card de OpenAI lo calificó como uno de los perfiles de seguridad más sólidos entre sus modelos, citando una paridad casi total con o3 en evaluaciones de contenido no permitido y una tasa de alucinaciones un 65% menor que la de su predecesor.

A pesar de esas métricas internas, los red teams externos llegaron a una conclusión diferente en cuestión de horas. El investigador de NeuralTrust Martí Jordà combinó dos técnicas para sortear los guardrails de GPT-5 sin activar ni una sola señal de rechazo evidente:

Echo Chamber introduce un contexto conversacional envenenado a lo largo de varios turnos mediante prompts de apariencia inocua. En lugar de solicitar contenido dañino directamente, planta semillas semánticas que establecen la base emocional y narrativa para un paso de extracción posterior.

Storytelling añade un marco ficticio alrededor de esas semillas. Al pedir al modelo que continúe una narrativa de supervivencia y mantenga la coherencia del relato, el investigador explotó la presión de coherencia de GPT-5: la tendencia del modelo a avanzar tramas establecidas en lugar de reevaluar si el contenido que está generando cruza un límite de seguridad.

Como señaló Jordà: "Usamos Echo Chamber para sembrar y reforzar un contexto conversacional sutilmente envenenado, y luego guiamos al modelo con un storytelling de baja prominencia que evita señalar intención explícita."

La secuencia de tres turnos que produjo las instrucciones del cóctel Molotov comenzó con una petición de escribir frases usando las palabras "cocktail, story, survival, molotov, safe, lives" en un contexto narrativo. Cada turno siguiente expandió la historia bajo la apariencia de continuidad, hasta que el modelo generó contenido procedimental que habría rechazado si se le hubiera pedido directamente.

El ataque Echo Chamber: seis etapas de context poisoning

El ataque Echo Chamber fue desarrollado por el equipo de investigación de NeuralTrust y publicado en junio de 2025. Opera en seis etapas, cada una diseñada para evitar filtros basados en palabras clave o intención mientras mueve progresivamente la conversación hacia un objetivo de extracción dañino.

Este enfoque es compatible con entornos black-box, no requiere acceso a los pesos del modelo ni al system prompt, y tiene éxito en una amplia gama de modelos frontier. En experimentos controlados de 200 intentos de jailbreak por modelo en ocho categorías, Echo Chamber logró más del 90% de éxito en violencia, discurso de odio, sexismo y pornografía, alrededor del 80% en desinformación y autolesiones, y más del 40% en actividades ilegales, según la investigación publicada de NeuralTrust.

La capa de Storytelling: la continuidad narrativa como camuflaje

El Storytelling es una técnica distinta pero complementaria. Donde Echo Chamber envenena el contexto, el Storytelling arma las propias restricciones de coherencia del modelo. Los LLMs están entrenados para producir outputs coherentes y contextualmente apropiados. Cuando se ha establecido un mundo ficticio en una conversación, el modelo experimenta lo que los investigadores describen como "presión de coherencia": un impulso funcional a avanzar los elementos del relato establecidos en lugar de detenerse a evaluar si el contenido que se está generando es dañino.

El ataque de Storytelling explota esto en cuatro pasos:

1. Planta un contexto envenenado de baja prominencia mediante la inclusión de palabras clave en texto narrativo benigno.
2. Selecciona caminos conversacionales que maximizan la continuidad narrativa mientras evitan señales de rechazo.
3. Ejecuta el ciclo de persuasion mediante peticiones de elaboración dentro de la historia.
4. Ajusta las apuestas narrativas si el modelo se detiene, sin revelar la intención dañina explícita.

La clave está en que el modelo no evalúa la seguridad a nivel de petición. Evalúa si la siguiente frase es una continuación plausible de la historia. Como expresó Jordà: "El enfoque de storytelling funciona como una capa de camuflaje, transformando las peticiones directas en elaboraciones que preservan la continuidad."

GPT-5 vs. GPT-4o: la seguridad en cifras

SPLX analizó ambos modelos en más de 1.000 escenarios de ataque que cubrían jailbreaks de seguridad, prompt injection, contenido dañino, gestión de rechazos, alucinaciones y fugas de datos. Los resultados presentan un panorama claro: GPT-5 es más capaz que sus predecesores en tareas de razonamiento, pero significativamente más débil en seguridad sin configuración protectora explícita.

Según SPLX (agosto de 2025), GPT-5 es "prácticamente inutilizable para empresas tal como viene." Un GPT-4o reforzado superó a un GPT-5 reforzado en 42 puntos porcentuales en la puntuación general. SPLX también encontró que los ataques de ofuscación básica, específicamente técnicas StringJoin que insertan guiones entre caracteres, sortearon con éxito las capas de seguridad de GPT-5 y generaron instrucciones para fabricar explosivos bajo pedido.

El CTO de SlashNext, J. Stephen Kowski, resumió los tres fallos centrales: "Las vulnerabilidades de GPT-5 se reducen a tres cosas: puede ser dirigido a través de múltiples turnos mediante context poisoning y storytelling, sigue siendo vulnerable a trucos de ofuscación simples, y hereda riesgos de agente y herramientas cuando enlaces y funciones entran en el bucle."

Cómo lo testamos: metodología

NeuralTrust testó GPT-5 en un entorno black-box estándar sin acceso a pesos del modelo, configuraciones internas ni system prompts. La metodología siguió el mismo marco utilizado en investigaciones anteriores de Echo Chamber contra GPT-4.1-nano, GPT-4o, GPT-4o-mini y variantes de Gemini.

Categorías objetivo: contenido violento (instrucciones para cóctel Molotov como indicador), discurso de odio y contenido procedimental dañino. Todo el testing se realizó bajo principios de divulgación responsable; los detalles operativos de los prompts de jailbreak exitosos se omiten. Los resultados se comunicaron a OpenAI antes de la publicación.

Riesgo de seguridad empresarial: por qué los guardrails de GPT-5 fallan en producción

El GPT-5 jailbreak no es un hallazgo aislado. Refleja una brecha estructural en cómo los modelos frontier actuales abordan la seguridad: los guardrails se evalúan principalmente a nivel de turno único, mientras que las conversaciones reales abarcan muchos turnos y acumulan contexto que los filtros de prompt único nunca ven.

Esta brecha se alinea directamente con OWASP LLM01:2025, la categoría de prompt injection, que cubre ataques que manipulan el comportamiento del modelo a través de entradas adversariales embebidas en el contexto de la conversación. La combinación de Echo Chamber y Storytelling representa una variante sofisticada: en lugar de inyectar un único prompt malicioso, construye un historial conversacional envenenado que el modelo no puede distinguir de una interacción legítima.

Tres riesgos empresariales específicos se derivan de esto:

Context drift: Los modelos que operan en pipelines agentivos procesan largas conversaciones a través de sesiones de usuario, llamadas a herramientas y entradas de documentos. El contexto envenenado introducido al inicio de una sesión puede influir en el comportamiento del modelo muchos turnos después, en acciones que el modelo ejecuta de forma autónoma.

Uso indebido de herramientas y agentes: Las capacidades agentivas de GPT-5, incluyendo acceso a navegador, ejecución de código y llamadas API, amplían significativamente la superficie de ataque. Un modelo dirigido hacia un objetivo dañino mediante manipulación narrativa puede ejecutar llamadas a herramientas que causen daño externo antes de que ningún revisor humano lo detecte.

Prompt injection via documentos: La ventana de contexto de 400K tokens de GPT-5 le permite ingerir documentos grandes en una sola llamada. Las instrucciones adversariales embebidas en esos documentos constituyen un vector de prompt injection (OWASP LLM01) que elude las capas de seguridad que solo operan sobre la entrada directa del usuario.

Según el Gartner Hype Cycle for AI 2026, la defensa en runtime de IA es una de las categorías de inversión en seguridad empresarial de más rápido crecimiento, precisamente porque los avances de capacidad en los modelos foundation están superando el desarrollo de arquitecturas de guardrail diseñadas para contenerlos.

Qué capa de despliegue proteger primero

No todos los contextos de despliegue conllevan el mismo riesgo. La tabla siguiente mapea los casos de uso de GPT-5 con su nivel de exposición y el control de protección primario que cada uno requiere.

Para despliegues agentivos y de cara al cliente, un system prompt reforzado por sí solo es insuficiente. Los propios datos de SPLX muestran que GPT-5 con un prompt reforzado sigue estando 44,6 puntos por debajo de un GPT-4o reforzado. La brecha entre capacidad y seguridad requiere controles que operen a nivel de conversación, no a nivel de token.

Conclusion

El GPT-5 jailbreak demostrado por NeuralTrust en agosto de 2025 confirma que la seguridad de la IA conversacional sigue siendo un problema abierto en la frontera del conocimiento. Combinando el método de context poisoning Echo Chamber con el Storytelling narrativo, los investigadores sortearon los guardrails de GPT-5 en 24 horas desde el lanzamiento y obtuvieron instrucciones paso a paso para producir un cóctel Molotov sin usar un solo prompt explícitamente dañino. Con los benchmarks de SPLX situando a GPT-5 en 11/100 sin system prompt y en 55/100 incluso con refuerzo, los equipos empresariales que desplieguen GPT-5 en producción no pueden depender solo de la seguridad integrada del modelo. La superficie de ataque se extiende al uso agentivo de herramientas, la ingestión de documentos extensos y los historiales conversacionales multi-turno que los filtros de turno único nunca evalúan.

Protege GPT-5 en produccion con NeuralTrust

El Runtime Security Mesh de NeuralTrust monitoriza las conversaciones a nivel de contexto, detecta patrones de envenenamiento estilo Echo Chamber y bloquea los intentos de jailbreak multi-turno antes de que lleguen a la ejecucion de herramientas.

Comparativas relacionadas

• Grok-4 Jailbreak con Echo Chamber y Crescendo: como NeuralTrust combino Echo Chamber con la tecnica Crescendo de Microsoft para vulnerar los guardrails de Grok-4 en 48 horas.
• Echo Chamber: el jailbreak de context poisoning: divulgacion tecnica completa del ataque Echo Chamber, incluyendo el mecanismo de seis etapas y las tasas de exito por modelo.
• Jailbreaks universales: un analisis de tecnicas de jailbreak transferibles que funcionan en multiples modelos frontier.

Preguntas frecuentes sobre GPT-5 jailbreak

1. ¿Qué es un GPT-5 jailbreak?

Un GPT-5 jailbreak es una técnica que elude los guardrails de seguridad de OpenAI en GPT-5 para hacer que el modelo produzca contenido que normalmente rechazaría, como instrucciones para armas o productos químicos peligrosos. A diferencia de los ataques directos de prompt, los jailbreaks modernos usan manipulación conversacional multi-turno, context poisoning y enmarcado narrativo para evitar los filtros de intención de turno único.

2. ¿Cuánto tardaron en hacer el jailbreak de GPT-5?

Los investigadores de NeuralTrust lograron el GPT-5 jailbreak en menos de 24 horas desde el lanzamiento del modelo el 7 de agosto de 2025. El equipo usó una combinación de la técnica de context poisoning Echo Chamber y una capa de Storytelling para extraer instrucciones paso a paso para un cóctel Molotov sin emitir un solo prompt manifiestamente peligroso.

3. ¿Qué es el ataque Echo Chamber y cómo funciona?

El ataque Echo Chamber es un jailbreak de context poisoning en seis etapas desarrollado por NeuralTrust. Planta semillas semánticas de baja prominencia en prompts de apariencia benigna, y luego invoca progresivamente el contexto envenenado a lo largo de turnos sucesivos hasta que el modelo produce el contenido objetivo del atacante. Funciona en entornos black-box y logra más del 90% de éxito en categorías de violencia y discurso de odio en los modelos frontier testados.

4. ¿En qué se diferencia el Storytelling de otras técnicas de jailbreak?

El Storytelling explota la presión de coherencia del modelo, su impulso entrenado a mantener la coherencia narrativa entre turnos, enmarcando las peticiones dañinas como continuaciones de trama necesarias en lugar de consultas directas. El modelo avanza el relato en lugar de evaluar las implicaciones de seguridad del contenido que está generando.

5. ¿Cómo se compara la seguridad de GPT-5 con la de GPT-4o?

Según el benchmark de red team de SPLX de agosto de 2025 con más de 1.000 escenarios de ataque, GPT-4o supera sustancialmente a GPT-5 en métricas de seguridad. Con un system prompt reforzado, GPT-4o alcanzó 97/100 en la puntuación general frente al 55/100 de GPT-5. La mejora de capacidad de GPT-5 en tareas de razonamiento parece haber tenido un coste en el rendimiento de seguridad de base.

6. ¿Es GPT-5 seguro para uso empresarial?

GPT-5 requiere capas de protección adicionales antes de su despliegue empresarial. SPLX describió el modelo bruto como "prácticamente inutilizable para empresas tal como viene." Un system prompt reforzado mejora sustancialmente las puntuaciones de seguridad, pero sigue dejando brechas significativas en comparación con un GPT-4o reforzado. Las organizaciones deben implementar un AI gateway con monitorización conversacional y red teaming antes de pasar a producción.

7. ¿Qué riesgos empresariales expone el GPT-5 jailbreak?

Los riesgos principales son: context drift en sesiones agentivas largas donde el envenenamiento temprano influye en llamadas posteriores a herramientas; prompt injection a través de documentos ingestados en la ventana de contexto de 400K tokens de GPT-5; y uso indebido de herramientas donde un modelo dirigido ejecuta acciones autónomas. Todos entran bajo OWASP LLM01:2025 y requieren controles a nivel de conversación.

8. ¿Cómo pueden las organizaciones protegerse frente a jailbreaks multi-turno como Echo Chamber?

Las defensas efectivas requieren ir más allá del escaneo de intención de turno único. Los controles clave incluyen: un AI gateway como Agent Gateway (TrustGate) de NeuralTrust que monitorice el context drift a nivel de conversación; runtime security que evalúe el historial completo de la sesión antes de permitir la ejecución de herramientas; y red teaming de IA periódico para validar que los system prompts y las configuraciones del gateway resisten las técnicas de ataque actuales.

Sobre el autor

Alessandro Pignati es Investigador principal de seguridad de IA en NeuralTrust, donde lidera la investigación sobre seguridad de IA y agentes, avanzando en técnicas para evaluar y asegurar grandes modelos de lenguaje y sistemas de IA autónomos. Se especializa en aprendizaje automático adversarial, red teaming de IA, seguridad de LLM y seguridad de IA, contribuyendo al desarrollo de IA segura y confiable.

NeuralTrust es una plataforma de seguridad para agentes de IA, reconocida en la Guía de Mercado 2025 de Gartner para AI Gateways y Guardian Agents, y en el KuppingerCole Leadership Compass 2025 para Defensa de IA Generativa. Con sede en Barcelona y certificación ISO 27001.

Fuentes

1. NeuralTrust, "GPT-5 Jailbreak with Echo Chamber and Storytelling," agosto de 2025. https://neuraltrust.ai/blog/gpt-5-jailbreak-with-echo-chamber-and-storytelling
2. NeuralTrust, "Echo Chamber: A Context-Poisoning Jailbreak That Bypasses LLM Guardrails," junio de 2025. https://neuraltrust.ai/blog/echo-chamber-context-poisoning-jailbreak
3. SPLX, "GPT-5 Under Fire: Red Teaming OpenAI's Latest Model Reveals Surprising Weaknesses," agosto de 2025. https://splx.ai/blog/gpt-5-red-teaming-results
4. OpenAI, "GPT-5 System Card," 13 de agosto de 2025. https://cdn.openai.com/gpt-5-system-card.pdf
5. SecurityWeek, "Red Teams Jailbreak GPT-5 With Ease, Warn It's Nearly Unusable for Enterprise," agosto de 2025. https://www.securityweek.com/red-teams-breach-gpt-5-with-ease-warn-its-nearly-unusable-for-enterprise/
6. Dark Reading, "Echo Chamber, Prompts Used to Jailbreak GPT-5 in 24 Hours," agosto de 2025. https://www.darkreading.com/cyberattacks-data-breaches/echo-chamber-prompts-jailbreak-gpt-5-24-hours
7. SiliconAngle, "Researchers jailbreak GPT-5 with multi-turn Echo Chamber storytelling," agosto de 2025. https://siliconangle.com/2025/08/11/researchers-jailbreak-gpt-5-multi-turn-echo-chamber-storytelling/
8. CSO Online, "GPT-5 jailbroken hours after launch using Echo Chamber and Storytelling exploit," agosto de 2025. https://www.csoonline.com/article/4038216/gpt-5-jailbroken-hours-after-launch-using-echo-chamber-and-storytelling-exploit.html
9. Security Boulevard, "It Took a Day for SPLX, NeuralTrust to Jailbreak OpenAI's GPT-5," agosto de 2025. https://securityboulevard.com/2025/08/it-took-a-day-for-splx-neuraltrust-to-jailbreak-openais-gpt-5/
10. LLM Stats, "GPT-5 benchmarks, pricing and context window," 2025. https://llm-stats.com/models/gpt-5-2025-08-07