Un artículo presentado el 2 de septiembre formaliza un ataque a la cadena de suministro dirigido específicamente a habilidades reutilizables de agentes: una habilidad de terceros que realiza correctamente su trabajo anunciado, devuelve una salida válida y pasa la inspección, mientras orienta en silencio las decisiones del agente hacia un objetivo no revelado.

El resultado medido

Aplicado en comercio agéntico y selección de dependencias de software, el marco alcanzó tasas de selección favorables al atacante del 81,33% y del 63,33%, respectivamente, al tiempo que mantenía una tasa de preservación de la utilidad del 100%. Esta última cifra es la que dificulta el ataque: la tarea que el usuario pidió sigue completándose, correctamente, siempre. No hay ningún fallo evidente.

Por qué no es prompt injection

Se trata de una clase distinta de la que todos venían defendiéndose. La prompt injection introduce de contrabando una instrucción en una ventana de contexto y desvía al agente de su tarea. Aquí no hay comando inyectado ni secuestro: la habilidad hace lo que dice, y la manipulación reside en cómo moldea el espacio de decisión sobre el que razona el agente. Las detecciones basadas en localizar instrucciones adversarias no encuentran nada sobre lo que actuar.

Qué falla en el marco habitual

Dos matices. Primero, tratar esto como "otro artículo sobre jailbreak" pasa por alto que nada se ha jailbreakado: no se induce al modelo a violar una política, sino a preferir una opción válida frente a otra. Segundo, el artículo informa de que los escáneres de habilidades evaluados no señalan las habilidades maliciosas, algo que se refiere a los escáneres concretos probados bajo las condiciones del artículo, no a una prueba de que la detección sea imposible. Sí demuestra que la capa de inspección actual apunta a la propiedad equivocada: los escáneres comprueban si una habilidad hace algo que no debería, y todo el diseño de este ataque consiste en que no lo hace.

El resultado de transferencia

Las políticas se transfirieron sin optimización adicional entre backends de modelos y entornos de agentes heterogéneos. El atacante no necesita saber qué modelo consumirá la habilidad. Eso es lo que convierte un resultado de investigación en un problema de cadena de suministro: una habilidad publicada una vez funciona contra lo que sea que la ejecute.