DeepKeep descubre ‘InkJect’, un nuevo ataque de IA que oculta instrucciones maliciosas dentro de imágenes

À medida que las empresas adoptan rápidamente la IA multimodal capaz de entender tanto texto como imágenes, los investigadores de seguridad están descubriendo que estas nuevas capacidades poderosas introducen superficies de ataque igualmente sofisticadas. La empresa israelí de seguridad de IA DeepKeep ha desvelado una técnica de inyección de instrucciones visuales no documentada previamente llamada InkJect, demostrando que las instrucciones ocultas incrustadas dentro de imágenes aparentemente inofensivas pueden manipular a los modelos de lenguaje y visión líderes (VLM) mientras evitan muchas de las barreras de seguridad diseñadas para detener los ataques de inyección de instrucciones tradicionales.

Según la investigación de DeepKeep, la vulnerabilidad afecta a varios de los modelos multimodales más avanzados de hoy en día, incluyendo GPT-5.2 y GPT-5.4 Mini de OpenAI, así como Claude Sonnet 4.6 y Claude Opus 4.5 de Anthropic. Los hallazgos exponen un punto ciego significativo en la seguridad de la IA: mientras que la industria ha invertido mucho en proteger las interacciones basadas en texto, se ha prestado mucha menos atención a la capa de razonamiento visual que cada vez más impulsa los sistemas de IA modernos.

Una nueva evolución de la inyección de instrucciones

Los ataques de inyección de instrucciones tradicionales intentan manipular un modelo de IA a través de texto cuidadosamente elaborado que anula sus instrucciones originales. En los últimos dos años, los principales proveedores de IA han invertido mucho en salvaguardias que detectan estos ataques antes de que los modelos puedan actuar en consecuencia.

InkJect toma una ruta completamente diferente. En lugar de comunicarse directamente a través del texto, los atacantes ocultan instrucciones maliciosas dentro de imágenes que se convierten en parte del flujo de trabajo normal de la IA. Esas imágenes podrían estar almacenadas dentro de repositorios públicos de GitHub, páginas de documentación, activos de diseño, diagramas u otros recursos visuales que los asistentes de codificación de IA y los agentes autónomos recuperan rutinariamente mientras completan tareas legítimas. Desde la perspectiva del usuario, nada parece inusual. La IA simplemente procesa la imagen como otra pieza de información contextual, sin darse cuenta de que también contiene instrucciones ocultas.

Explotando la capacidad de la IA para ver

Lo que hace que InkJect sea particularmente efectivo es que apunta a una de las capacidades más nuevas en los sistemas de IA modernos: la comprensión visual.

Los modelos de lenguaje y visión realizan un reconocimiento óptico de caracteres sofisticado como parte de la interpretación de imágenes, lo que les permite leer texto incrustado en diagramas, capturas de pantalla, fotografías y diseños de interfaz. DeepKeep descubrió que estas capacidades a menudo superan las de las herramientas de seguridad basadas en OCR tradicionales utilizadas para inspeccionar imágenes cargadas.

Los investigadores demostraron que las instrucciones maliciosas podrían ocultarse utilizando técnicas como texto blanco en fondos blancos, letra con contraste extremadamente bajo, distorsión de perspectiva y tipografía deformada. Mientras que los escáneres de seguridad existentes a menudo no reconocían estos comandos ocultos, los modelos de IA los interpretaban sin dificultad. Esto crea una discrepancia peligrosa en la que el software de seguridad concluye que una imagen es inofensiva mientras que la IA extrae e ejecuta instrucciones invisibles para el escáner y el usuario humano.

La inyección de instrucciones indirecta hace que la amenaza sea aún más peligrosa

A diferencia de muchos ciberataques que requieren acceso directo a un sistema objetivo, InkJect se basa en lo que los investigadores describen como inyección de instrucciones indirecta. En lugar de cargar una imagen maliciosa directamente en una aplicación de IA, un atacante simplemente coloca la imagen dentro de un repositorio o recurso en línea accesible públicamente.

Más tarde, cuando un desarrollador solicita a un asistente de IA que cree una función utilizando ese repositorio o analice su contenido, el modelo recupera automáticamente la imagen como parte de su flujo de trabajo normal. Las instrucciones ocultas se procesan junto con los activos del proyecto legítimos sin que el desarrollador se dé cuenta de que se han introducido comandos adicionales en la conversación.

Este método de ataque es particularmente preocupante porque los agentes de IA modernos cada vez más recuperan recursos externos de forma autónoma. Cada repositorio público, página de documentación o activo compartido puede convertirse en otro conducto a través del cual las instrucciones maliciosas pueden llegar a un sistema de IA.

Una solicitud de codificación simple con consecuencias graves

DeepKeep ilustró el impacto utilizando un escenario de desarrollo de software que parece completamente rutinario.

Un desarrollador instruyó a un asistente de codificación de IA para generar una página web informativa básica. Sin que el desarrollador lo supiera, una de las imágenes de referencia contenía instrucciones ocultas. En lugar de producir solo la página web solicitada, la IA agregó silenciosamente un sistema de inicio de sesión de miembros completamente funcional con credenciales de administrador y lógica de autenticación de backend.

La página web funcionó exactamente como se esperaba, sin dar al desarrollador ninguna razón para sospechar que se había insertado código adicional. Sin un auditoría de seguridad detallada, la puerta trasera no autorizada podría haberse desplegado fácilmente en producción, proporcionando a los atacantes acceso administrativo que nadie solicitó conscientemente.

La demostración destaca cómo la inyección de instrucciones visuales difiere de los ataques de IA anteriores. En lugar de influir simplemente en las respuestas de los chatbots, las instrucciones visuales ocultas pueden manipular el código generado, introducir vulnerabilidades de seguridad, alterar flujos de trabajo autónomos y potencialmente comprometer sistemas empresariales.

Por qué los guardrails de IA existentes no detectan el ataque

La investigación subraya una debilidad arquitectónica en el paisaje de seguridad de IA de hoy en día. La mayoría de los guardrails comerciales han sido diseñados alrededor de la inspección de instrucciones textuales antes de que lleguen al modelo. Como resultado, las organizaciones se han vuelto cada vez más efectivas para detectar instrucciones maliciosas escritas.

Las entradas visuales, sin embargo, a menudo siguen una canalización de procesamiento completamente diferente.

DeepKeep encontró que varios modelos de vanguardia rechazaron ataques idénticos cuando se presentaron como texto, pero los aceptaron cuando esas mismas instrucciones se incrustaron dentro de una imagen. En efecto, los atacantes pueden eludir las protecciones simplemente cambiando el medio a través del cual se entregan las instrucciones.

A medida que la IA multimodal se convierte en la interfaz predeterminada para las aplicaciones empresariales, esta distinción se vuelve cada vez más importante. Los sistemas de seguridad ya no pueden asumir que las instrucciones peligrosas llegan solo a través del texto.

Por qué las empresas deben prestar atención

El momento de la investigación de DeepKeep refleja un cambio mucho mayor que se produce en la IA empresarial. Las previsiones de la industria sugieren que los sistemas multimodales capaces de entender imágenes, documentos, video y texto se convertirán en estándar en el desarrollo de software, servicios financieros, atención médica, fabricación, soporte al cliente y automatización empresarial.

A diferencia de los chatbots de consumo, muchos sistemas de IA empresariales operan con privilegios elevados. Recuperan documentación propiedad, escriben software, ejecutan código, llaman a API, interactúan con infraestructura en la nube, analizan documentos confidenciales y cada vez más toman decisiones en nombre de los usuarios. Las instrucciones ocultas incrustadas en el contenido visual representan, por lo tanto, mucho más que una curiosidad académica: introducen una nueva categoría de riesgos de ciberseguridad empresarial capaces de influir en sistemas del mundo real.

El enfoque de DeepKeep para la seguridad de la IA

Fundada en 2021, DeepKeep se ha centrado exclusivamente en la seguridad de la IA a lo largo de todo su ciclo de vida, desde la evaluación y prueba del modelo hasta la protección durante la implementación y el tiempo de ejecución. En lugar de concentrarse únicamente en los grandes modelos de lenguaje, la plataforma de la empresa está diseñada para proteger los sistemas de IA multimodal, los agentes de IA autónomos, las aplicaciones de visión por computadora y las implementaciones de IA empresarial.

Su plataforma de seguridad combina múltiples capas de protección, incluyendo un Firewall de IA que monitorea la inferencia en tiempo real, un equipo rojo automatizado de IA que busca proactivamente vulnerabilidades antes de la implementación, un escáner de agentes de IA que analiza los flujos de trabajo autónomos en busca de caminos de explotación, capacidades de escaneo de modelos que evalúan las cadenas de suministro de IA en busca de riesgos de seguridad y AI Lens, que proporciona a las organizaciones visibilidad sobre cómo los empleados y las aplicaciones utilizan la IA en toda la empresa.

A medida que las organizaciones continúan integrando la IA en flujos de trabajo críticos, la estrategia de DeepKeep refleja un creciente reconocimiento de que la seguridad de la IA requiere la protección de cada etapa de cómo los modelos reciben, procesan y actúan sobre la información, y no solo filtrar las instrucciones que los usuarios escriben.

La próxima frontera en la seguridad de la IA

InkJect probablemente será recordado como más que solo otra técnica de inyección de instrucciones. Destaca cómo la rápida evolución de la IA multimodal está redefiniendo fundamentalmente el paisaje de la ciberseguridad.

A medida que los modelos se vuelven cada vez más capaces de ver, razonar, recuperar información y actuar de forma autónoma, los atacantes naturalmente buscarán nuevas formas de explotar cada modalidad que estos sistemas entienden. Las imágenes, los diagramas, los PDF, los sitios web y otros recursos visuales pueden convertirse en vehículos para instrucciones ocultas que las herramientas de seguridad existentes pueden nunca detectar.

DeepKeep ha revelado responsablemente sus hallazgos a OpenAI y Anthropic, dándoles a las empresas la oportunidad de fortalecer las protecciones contra este vector de ataque recién identificado. Si InkJect se convierte en el primer ejemplo de una clase más amplia de ataques de inyección de instrucciones multimodales, el asunto de la seguridad de la IA sigue siendo una cuestión de suma importancia. La seguridad de la IA debe evolucionar tan rápido como la IA misma. A medida que los modelos aprenden a entender el mundo visual con una sofisticación cada vez mayor, defenderlos requerirá sistemas de seguridad capaces de hacer lo mismo.