Una IA pequeña dice "seguro", la grande interpreta una orden: Check Point revela PuzzleMask

Un modelo pequeño lee el texto y responde "seguro". Luego el mismo texto llega a una IA más potente, que encuentra en su interior una orden oculta y la ejecuta. Check Point Research mostró esa brecha con la nueva técnica PuzzleMask, capaz de eludir los filtros rápidos que están antes de los grandes modelos de lenguaje.

PuzzleMask no requiere Base64, caracteres invisibles, emojis o marcado sospechoso. La instrucción maliciosa se oculta dentro de texto corriente y coherente; externamente la consulta puede parecer totalmente inocua. Este tipo de ataques pertenece a la clase más amplia de inyección de prompts, pero Check Point se centró no en el modelo principal, sino en un filtro de IA separado que debería descartar las solicitudes peligrosas antes del procesamiento.

Muchos servicios construyen la protección con el esquema «filtro rápido → modelo potente». Un LLM pequeño y barato recibe la consulta primero, clasifica el contenido como seguro o peligroso y solo tras la verificación envía el texto al modelo más costoso. PuzzleMask explota la diferencia en las capacidades computacionales de ambos eslabones. Al filtro le faltan recursos para detectar la estructura oculta, mientras que el modelo potente es capaz de reconstruir el mensaje incrustado.

Check Point preparó 23 consultas especiales con comandos como leer un archivo o cifrar documentos. GPT-4o-mini, gpt-oss-safeguard:20b y Claude 3 Haiku declararon seguros los 23 casos probados. Llama Guard 3 igualmente dejó pasar cinco consultas en las que se la probó. El peligro de este tipo de instrucciones aumenta especialmente en agentes de IA capaces de trabajar con archivos, correo y otras herramientas.

Tras pasar el filtro, las consultas se enviaron a GPT-5 Thinking High con acceso al intérprete de Python. El modelo extrajo la instrucción oculta y respondió a ella en 17 de 18 pruebas, es decir, aproximadamente en el 94% de los casos. Según el equipo, la extracción exitosa requirió alrededor de un minuto de razonamiento y varias ejecuciones de Python. Esa diferencia explica bien por qué el clasificador rápido no detecta lo que luego descubre el sistema más potente.

Los autores subrayan por separado que PuzzleMask en sí no es un jailbreak. La técnica solo entrega una instrucción arbitraria a través del filtro externo, sin garantizar eludir las restricciones integradas del modelo objetivo. Sin embargo, dentro de PuzzleMask se puede introducir un jailbreak ya preparado u otra orden maliciosa. Un problema similar con comandos que la persona apenas nota fue mostrado antes por el ataque InkJect, donde las instrucciones se ocultaban dentro de una imagen.

Para protegerse, Check Point propone parafrasear el texto entrante antes de enviarlo al modelo principal, añadir a los filtros señales de este tipo de construcciones y controlar no solo las solicitudes entrantes sino también las respuestas y las acciones del LLM. En un experimento, una regla adicional permitió a GPT-4o-mini detectar las 23 consultas preparadas. El estudio completo de PuzzleMask también muestra el coste de este enfoque: una verificación más profunda aumenta los gastos computacionales, y las reglas estrictas pueden generar falsas alarmas.

El problema se hace especialmente evidente cuando el modelo recibe documentos externos y decide por sí mismo qué acciones ejecutar. El análisis de ataques a agentes de IA muestra el mismo riesgo fundamental: datos de un sitio web, un repositorio o un correo pueden convertirse inesperadamente en una instrucción para el LLM.

Check Point ya había demostrado otra variante de abuso de la confianza en los servicios de IA. En uno de los estudios, comandos ocultos permitían usar redes neuronales populares como parte de un canal de control de malware. PuzzleMask traslada un problema similar al nivel de la propia arquitectura de protección, donde el eslabón débil puede no estar en el modelo principal sino antes que él.