Qué es el prompt injection
- Directo: el usuario escribe instrucciones para que el bot ignore sus reglas ("olvida lo anterior y…").
- Indirecto: las instrucciones están escondidas en contenido que el bot lee después (una página web, un PDF, un correo) y las obedece como si fueran legítimas.
Revisado el 26 de octubre de 2026. Para el texto oficial consulta el proyecto OWASP GenAI; las fuentes que usamos están al final y son resúmenes de terceros.
Los riesgos que más importan a una pyme
| Riesgo (OWASP LLM Top 10, 2025) | Qué puede pasar en tu negocio |
|---|---|
| Prompt injection (LLM01) | El bot responde con lo que no debe o ignora sus reglas. |
| Filtración del prompt de sistema | Se descubren tus instrucciones internas, y con ellas datos o secretos que no debían estar ahí. |
| Agencia excesiva | El bot puede borrar, enviar o ejecutar acciones sin control, porque se le dio demasiado poder. |
| Salidas inseguras | Lo que genera el bot se usa sin revisar y provoca otro problema (por ejemplo, código o enlaces dañinos). |
Dato clave: no se debe suponer que lo que escribes en el prompt de sistema permanece en secreto. Nunca pongas allí contraseñas, claves ni datos privados.
Medidas que funcionan
- Mínimo privilegio: el bot solo accede a los datos y herramientas que necesita. Un bot de preguntas frecuentes no necesita leer tu base de clientes.
- Confirmación humana en acciones importantes: agendar, cobrar, borrar o enviar algo debe pasar por una persona o por una regla, no por la voluntad del modelo.
- Validar entradas y salidas: limitar tamaño y formato de lo que llega y filtrar información sensible en lo que sale.
- El servidor fija las reglas: el cliente no debe poder enviar mensajes con rol de sistema.
- Límites de uso: control de peticiones por IP para frenar abusos y gastos descontrolados de la API.
- Registros y revisión: guardar conversaciones (con respeto a la privacidad) para detectar abusos.
- Capas, no una sola defensa: filtrar entradas no basta; sumar controles de permisos, límites y supervisión.
En el chatbot de nuestro propio sitio aplicamos varias de ellas: el servidor acepta solo mensajes de usuario y de asistente, valida el tamaño, limita las peticiones por IP y las reglas del bot le prohíben confirmar citas por su cuenta.
Preguntas para tu proveedor
- ¿A qué datos y herramientas tiene acceso el bot, y por qué?
- ¿Qué acciones puede ejecutar sin confirmación humana?
- ¿Dónde se guardan las claves de la IA y de WhatsApp, y quién puede verlas?
- ¿Hay límites de uso y alertas de consumo anormal?
- ¿Cómo se manejan los datos personales de los usuarios? Revisa la política de privacidad y la normativa colombiana de protección de datos.
- ¿Quién revisa las conversaciones problemáticas y con qué frecuencia?
Conoce nuestro enfoque en chatbots de WhatsApp con IA y qué esperar de su precio.
Fuentes
Preguntas frecuentes
¿Qué es el prompt injection?
Es manipular a un modelo de lenguaje con instrucciones, escritas por el usuario o escondidas en contenido que el modelo lee, para que ignore sus reglas o haga algo no previsto.
¿Se puede evitar del todo con un buen prompt?
No. Un buen prompt ayuda, pero la defensa real combina permisos mínimos, validación de entradas y salidas, límites de uso y confirmación humana en las acciones importantes.
¿Es seguro poner claves en las instrucciones del chatbot?
No. No se debe suponer que el prompt de sistema permanece secreto; las claves y los datos privados deben guardarse fuera de él.