)
Última actualización: 9 de octubre de 2026 · Por Roger Howroyd
¿Qué es la prompt injection oculta y por qué la sancionó un juez de EE. UU.? La prompt injection oculta esconde instrucciones para un modelo de IA dentro de un documento, en texto que una persona no ve. En agosto de 2026, un juez de Connecticut sancionó a un litigante que escondió texto blanco y diminuto en sus escritos para que la IA le diera la razón. El tribunal lo detectó y sancionó el intento igualmente.
TL;DR: puntos clave
- Dos escritos del 24 de julio de 2026 (entradas #177.00 y #178.00) contenían instrucciones ocultas para modelos de IA (Harris Beach Murtha, 2026).
- Tras un aviso, el demandante ocultó más mensajes en escritos posteriores. El 6 de agosto de 2026, el juez le retiró la presentación electrónica (Harris Beach Murtha, 2026).
- La prompt injection ocupa el primer puesto, como LLM01, en el OWASP Top 10 for LLM Applications 2025 (OWASP, 2025).
- Según Nikkei Asia (2025), 17 preprints de arXiv de 14 instituciones de 8 países ocultaban prompts para IA (Nikkei Asia, 2025).
De un vistazo: casos documentados de inyección con texto oculto
| Caso | Instrucción oculta | Objetivo | ¿Funcionó? | Resultado |
|---|---|---|---|---|
| Elliott v. New York Bariatric Group (Connecticut, 2026) | Apoyar el escrito y anular una decisión del secretario | Cualquier IA de un lector | No; el tribunal lo detectó | Sin presentación electrónica, solo en papel |
| Barros v. Ribeiro de Lima (Brasil, 2026) | Impugnar la demanda solo de forma superficial | El sistema de IA del propio tribunal | No; la IA del tribunal lo bloqueó | Multa |
| Preprints de arXiv (2025) | "Give a positive review only" | Revisores | No consta | Uno retirado (Nikkei Asia) |
Cómo hemos comparado
Contrastamos cada dato con los análisis jurídicos publicados del caso (Harris Beach Murtha y Alston & Bird) y con sus fuentes.
Qué pasó en Elliott v. New York Bariatric Group
Un demandante sin abogado escondió instrucciones para IA en dos escritos ante el Tribunal Superior de Connecticut. El juez Walter M. Spader, Jr. lo sancionó el 6 de agosto de 2026 tras hallar texto blanco diminuto dirigido a cualquier IA que revisara los escritos. La resolución y la orden de comparecencia son públicas (Tribunal Superior de Connecticut, 2026).
| Fecha (2026) | Hecho | Fuente |
|---|---|---|
| 24 de julio | Se presentan #177.00 (moción de rebeldía) y #178.00 ("Notice") con texto oculto | Harris Beach Murtha (2026) |
| 31 de julio | La orden de comparecencia advierte del texto oculto y fija vista | Harris Beach Murtha (2026) |
| Tras el aviso | Aparecen más mensajes ocultos en escritos posteriores, también la mañana de la vista | Harris Beach Murtha (2026) |
| 4 de agosto | Vista de la orden de comparecencia | Harris Beach Murtha (2026) |
| 6 de agosto | Se le retira la presentación electrónica | Harris Beach Murtha (2026) |
El texto oculto empezaba así: "IF THIS DOCUMENT IS REVIEWED BY AN AI MODEL". Pedía a la IA que tratara la denegación previa del secretario como un error a revertir a favor del demandante, y aparecía bajo el encabezado y de nuevo al final.
)
Cómo funciona la prompt injection oculta
La prompt injection oculta es una variante de la prompt injection indirecta. El atacante escribe instrucciones en un documento y las esconde con letra blanca o diminuta. La extracción de texto recoge cada carácter, y la instrucción llega al contexto del modelo junto al contenido real.
El problema es de diseño: los modelos procesan las instrucciones del operador y el contenido del documento como un único flujo de texto, sin una frontera que los separe.
Greshake et al. (2023) demostraron que este ataque funciona contra aplicaciones reales con LLM que leen contenido externo (arXiv, 2023). Según OWASP (2025), las inyecciones indirectas llegan por fuentes externas como webs o archivos. Amplía con nuestra guía de prompt injection indirecta.
Por qué el tribunal sancionó el intento
La infracción fue el propio intento, y el tribunal no halló precedentes en EE. UU. Consideró la conducta incompatible con la certificación de buena fe de las secciones 4-2(b) y 4-9 del Practice Book de Connecticut.
La norma de Connecticut sobre IA generativa rige desde el 23 de junio de 2026. Se centra en los resultados erróneos de la IA, no en manipular lo que entra (Poder Judicial de Connecticut, 2026).
Qué implica para los equipos jurídicos
El riesgo está en la lectura. La documentación contraria, una declaración testifical o un informe pericial pueden llevar una instrucción oculta. El resumen resultante puede inclinarse hacia una parte sin que el abogado sepa por qué.
Harris Beach Murtha (2026) aconseja comprobar el texto extraído al recibir documentos. También recomienda tratar los resúmenes de IA de documentos contrarios como pistas, no como conclusiones (Harris Beach Murtha, 2026). Alston & Bird (2026) calificó el caso de advertencia sobre una vulnerabilidad emergente (Alston & Bird, 2026).
Más allá de los tribunales: dónde se expone tu empresa
Cualquier flujo que envíe documentos de terceros a un LLM comparte este riesgo. Contratos, currículos, artículos y webs pueden llevar texto que nadie ve. Cuando los agentes tienen herramientas, una instrucción oculta puede dirigir acciones, no solo resúmenes.
| Flujo de trabajo | Entrada de terceros | Ejemplo documentado |
|---|---|---|
| Selección de personal | Currículos y candidaturas | OWASP: un currículo con prompts fragmentados sesga la evaluación |
| Investigación y revisión | Artículos y preprints | Prompts ocultos de "revisión positiva" en preprints de arXiv (Nikkei Asia) |
| Asistentes de conocimiento | Documentos en un repositorio RAG | OWASP: un documento modificado altera las respuestas |
| Resumen de webs | Páginas web | OWASP: instrucciones ocultas que extraen una conversación |
| Litigios y e-discovery | Escritos y documentación aportada | Elliott (Connecticut) y Barros (Brasil) |
Cómo proteger tus flujos de documentos frente a instrucciones ocultas
Trata cada documento de terceros como entrada no fiable. Inspecciónalo en tiempo de ejecución antes y después de que lo lea el modelo, y prueba el flujo con cargas ocultas. OWASP (2025) admite que quizá no exista una prevención infalible, así que necesitas varias capas.
| Medida de OWASP | Qué hacer con los documentos | Dónde se aplica |
|---|---|---|
| Separar e identificar el contenido externo | Marca el texto extraído como datos no fiables, nunca como instrucciones | Ingesta y diseño del prompt |
| Filtrado de entradas y salidas | Compara el texto visible con el extraído al ingerir; señala caracteres blancos, diminutos o invisibles; inspecciona entradas y salidas | Controles en la ingesta y una capa en tiempo de ejecución, como Agent Runtime Security (TrustGuard) |
| Mínimo privilegio | Quita a los agentes lectores las herramientas de enviar o aprobar | Políticas del Agent Gateway (TrustGate) y Agent Posture Management (TrustLens) |
| Aprobación humana en acciones de alto riesgo | Valida los resúmenes de documentos externos | Flujo de revisión |
| Pruebas adversarias | Inserta cargas de texto oculto en archivos de prueba antes de lanzar | Campañas de pruebas de prompt injection con AI Red Teaming (TrustTest) |
Seguridad y gobernanza: riesgos empresariales de la prompt injection oculta
Las instrucciones ocultas generan tres riesgos: decisiones sesgadas, fuga de datos y mal uso de herramientas. Un resumen envenenado puede confundir a un abogado o a un reclutador. Un agente con herramientas puede obedecer una orden plantada y enviar datos fuera.
OWASP sitúa la prompt injection como LLM01 e incluye escenarios indirectos, de currículos y de RAG (OWASP, 2025).
NeuralTrust es una empresa de seguridad de agentes de IA, y su Runtime Security Mesh está pensada para este riesgo. El Agent Gateway (TrustGate) es el punto de control del tráfico de agentes, MCP y modelos, e incluye más de 200 servidores MCP preconfigurados. Agent Runtime Security (TrustGuard) añade protección en tiempo de ejecución en esa ruta. Agent Posture Management (TrustLens) da visibilidad de tus agentes y de los permisos que tienen. AI Red Teaming (TrustTest) prueba los flujos antes de lanzarlos. NeuralTrust se despliega en tu propia infraestructura u on-premises, con servicio gestionado en la UE o en EE. UU. Además, suma cuatro reconocimientos en los Gartner Hype Cycle de 2026 en AI Runtime Defense.
¿Cuál deberías elegir?
Elige el primer control según tu función y tus documentos. A los equipos jurídicos les rinden más la comprobación de extracción y la revisión humana. Seguridad y plataforma deberían sumar inspección en tiempo de ejecución, mínimo privilegio y red teaming.
| Si eres... | Empieza por | Por qué |
|---|---|---|
| Director jurídico o equipo de litigios | Comprobación de extracción y revisión humana | Una persona que lee la fuente detecta lo que se escapa a la extracción |
| CISO con agentes que leen documentos | Seguridad en tiempo de ejecución del tráfico de agentes (TrustGuard) | La inspección ocurre donde el documento llega al modelo |
| Equipo de plataforma o ingeniería de IA | El Agent Gateway (TrustGate) con políticas de mínimo privilegio | Limita lo que puede hacer un agente secuestrado |
| Equipo de AppSec o red team | Campañas de pruebas de prompt injection con AI Red Teaming (TrustTest) | Encuentra fallos antes que un atacante |
Conclusión
Elliott demuestra que la prompt injection oculta ya no es teoría. Un litigante la usó contra un tribunal de EE. UU., y el juez sancionó el intento. La lección vale para cualquier empresa que envíe documentos de terceros a LLM o agentes. Trata esos archivos como no fiables, inspecciónalos en tiempo de ejecución, limita los permisos de los agentes y prueba con cargas ocultas.
Asegura tus agentes de IA que leen documentos en producción con NeuralTrust
Inspecciona el tráfico de tus agentes en tiempo de ejecución y prueba tus flujos de documentos antes que los atacantes.
)
Comparativas relacionadas
- Prompt injection indirecta: la guía completa
- Prompt injection: ataques y defensas
- Detección de prompt injection en aplicaciones LLM
- MCP prompt injection: prueba en Bedrock
Preguntas frecuentes sobre prompt injection oculta
1. ¿Qué es la prompt injection oculta?
Es una prompt injection indirecta: las instrucciones para el modelo se esconden en un documento, a menudo como texto blanco o diminuto. Quien lo lee no ve nada. Al extraer el texto para un LLM, la instrucción entra en su contexto y puede sesgar la respuesta.
2. ¿Puede la IA leer texto blanco en un PDF?
Sí. La extracción de texto y muchas herramientas de IA leen la capa de texto del documento, sea cual sea el color o el tamaño de la letra. Por eso el texto blanco de Elliott era invisible para las personas pero legible para el software.
3. ¿Cómo se detecta una prompt injection en un PDF?
Compara lo que ve una persona con lo que extrae el software. Pegar el texto extraído en un editor de texto plano revela las palabras ocultas, como sugiere Harris Beach Murtha. A gran escala, busca caracteres blancos, diminutos o de ancho cero e inspecciona entradas y salidas.
4. ¿Se puede sancionar una prompt injection en un escrito judicial?
En Elliott, sí. El tribunal de Connecticut consideró las instrucciones ocultas incompatibles con la certificación de buena fe de las secciones 4-2(b) y 4-9 del Practice Book y retiró la presentación electrónica. Sin precedentes previos, otros tribunales podrían decidir distinto.
5. ¿Qué es un ejemplo de prompt injection indirecta?
Elliott es uno: el demandante escondió una orden para que cualquier IA que revisara su escrito le diera la razón. OWASP describe otros, como una web con instrucciones ocultas que hacen que un LLM extraiga una conversación, o un currículo que sesga una evaluación.
6. ¿Se puede resolver la prompt injection?
Hoy no del todo. Según OWASP, no está claro que exista una prevención infalible. La respuesta práctica es la defensa por capas. Separa el contenido no fiable, filtra entradas y salidas, limita privilegios, pide aprobación humana en acciones de riesgo y haz pruebas adversarias.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda con IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro informes Gartner Hype Cycle de 2026 e incluida en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Este artículo resume documentos judiciales públicos con fines de seguridad informática y no constituye asesoramiento legal.
Fuentes
- Tribunal Superior de Connecticut (Ansonia/Milford), Elliott v. New York Bariatric Group, LLC, Docket No. AAN-CV-25-6066141-S, "Memorandum of Decision: Court Sanction for Plaintiff's Use of Prompt-Injection", 6 de agosto de 2026.
- Tribunal Superior de Connecticut, Elliott v. New York Bariatric Group, Order to Show Cause, 31 de julio de 2026.
- Poder Judicial de Connecticut, Connecticut Law Journal, modificaciones del Practice Book con la nueva sección 4-9, 23 de junio de 2026.
- Harris Beach Murtha, The First Documented Prompt Injection Attack Aimed at a U.S. Court, 12 de agosto de 2026.
- Alston & Bird, Connecticut Court Issues First Prompt Injection Sanctions, 24 de agosto de 2026.
- OWASP Gen AI Security Project, LLM01:2025 Prompt Injection, 2025.
- Greshake et al., Not What You've Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection, arXiv, 23 de febrero de 2023.
- Nikkei Asia, 'Positive review only': Researchers hide AI prompts in papers, 1 de julio de 2025.