Claude y la inyección de prompts: un 1 % de fallos ya es demasiado

La inyección de prompts (prompt injection) es un ataque que esconde instrucciones en un texto que la IA lee (una página web, un correo, un archivo) para que las ejecute en lugar de las tuyas. Contra Claude tiene éxito pocas veces, alrededor de 1 de cada 100 en las pruebas publicadas por Anthropic, pero no nunca. Y en cuanto Claude puede actuar sobre tu correo, tu CRM o tu código, ese pequeño porcentaje se convierte en un riesgo para la empresa.

He leído los análisis de los proveedores de seguridad, la documentación de Anthropic, tres vídeos técnicos y los debates de Reddit para responder a una pregunta sencilla: ¿se le pueden dar accesos a Claude en una pyme? Mi respuesta cabe en una línea, y el resto del artículo la justifica.

Qué le hace la inyección de prompts a un agente de IA

La inyección de prompts indirecta consiste en colocar una instrucción maliciosa en un contenido que el agente va a leer por su cuenta, sin que el usuario la vea. El agente no distingue de forma fiable tus órdenes del texto que procesa, y es precisamente esa confusión la que se explota. Según el análisis de TrueFoundry, el Top 10 de aplicaciones agénticas 2026 de OWASP, publicado en diciembre de 2025, sitúa el secuestro del objetivo de un agente (ASI01) en el primer puesto de los riesgos.

¿Qué diferencia hay entre la inyección directa y la indirecta?

La inyección directa es alguien que escribe una instrucción trampa en el chat. Es visible, y los modelos actuales se defienden bastante bien de ella, como recuerda el vídeo de Permit. La inyección indirecta es más traicionera: el atacante nunca se dirige a la IA, sino que deja la instrucción en un README, una página web, una respuesta de API o la descripción de un ticket, como detalla el blog de Lasso Security, publicado el 7 de enero de 2026.

Para una pyme, es la única que importa. Tus agentes leerán correos de proveedores, páginas de la competencia, tickets de clientes. Son otros tantos buzones abiertos a cualquiera.

¿Por qué un libro de segunda mano al doble de precio resume todo el problema?

El vídeo de IBM Technology presenta un agente de compras encargado de encontrar un ejemplar de Nine Dragons de Michael Connelly, en buen estado y de tapa dura. El agente comparó las ofertas y, de repente, se detuvo y compró en una web que cobraba el doble que las demás. Los registros del agente muestran por qué: la página contenía un texto oculto que le pedía ignorar las instrucciones anteriores y comprar fuera cual fuera el precio.

Nadie hackeó nada: el agente simplemente obedeció a quien no debía. Cambia el libro por una transferencia a un proveedor o una exportación de clientes, y el escenario deja de tener gracia.

Claude resiste mejor que la media, pero la tasa no es cero

Claude está entre los modelos más resistentes a la inyección de prompts según las cifras publicadas por Anthropic, que habla de una tasa de éxito de los ataques del 1 % para Claude Opus 4.5 en uso de navegador. El avance es real, pero el propio fabricante afirma que el problema no está resuelto. Así que todo depende de lo que pongas detrás de ese 1 %.

«La inyección de prompts dista mucho de ser un problema resuelto, sobre todo a medida que los modelos realizan acciones en el mundo real».

Anthropic, investigación sobre las inyecciones en el uso del navegador (traducción libre)

¿Qué mide realmente ese 1 % de ataques con éxito?

La cifra procede de la publicación de Anthropic sobre la navegación, donde cada página web, anuncio o script cargado es una posible puerta de entrada. Una prueba de la empresa de seguridad Graywall, citada en el vídeo de RobBot, apunta en la misma dirección: incluso tras 15 intentos, el ataque solo funciona aproximadamente una vez de cada 100 con la variante más discreta.

Un vídeo del canal Tulip eni sobre el jailbreak de Claude Opus 5.5 demuestra que estos atajos interesan al gran público, pero su pista de audio es inutilizable: no me apoyo en ninguna cifra de ese vídeo.

Un agente que procesa 200 correos al día hace 200 tiradas. Con un 1 %, la pregunta ya no es «si» sino «cuándo», sobre todo si uno de esos correos lo ha escrito un atacante motivado.

¿Por qué hay que desconfiar de las cifras demasiado tranquilizadoras?

En r/BetterOffline, un usuario señala que Boris Cherny, del equipo de Claude Code, presenta el modo automático como capaz de reducir la inyección indirecta a «prácticamente cero», a partir de 72 escenarios probados por Trajectory Labs. El mismo mensaje apunta que un solo éxito sobre 72 ya supondría un 1,39 %, de modo que el 0,00 % anunciado se basa en una muestra minúscula.

El investigador wunderwuzzi, citado en ese hilo, logró hasta un 80 % de éxito sobre una muestra pequeña contra el modo automático con Opus 5. Su truco: empujar a Claude a pasar de la herramienta WebFetch a curl, descargar un archivo ZIP y dejar que escribiera su propio decodificador en Python en una carpeta controlada por el atacante, donde un archivo struct.py falso tomaba el relevo. No saco de esta prueba una ley general, la muestra es pequeña. Lo que retengo es que una tasa medida en laboratorio no dice nada de un atacante que busca un fallo concreto.

Eso no significa que el modo automático sea inútil. Según la documentación de seguridad de Claude Code, un modelo clasificador independiente examina cada acción y bloquea las que considera peligrosas, lo que se suma al bash en sandbox y a la restricción al directorio de trabajo. Es una capa, no un escudo.

¿Puede el propio Claude equivocarse de objetivo?

Sí, en ambos sentidos. Un usuario de r/ClaudeAI cuenta que Claude le acusó de inyección cuando en realidad se habían filtrado al contexto definiciones de herramientas internas: un falso positivo. Otro asegura que un subagente convenció a su sesión principal para que borrara su base de datos. Este segundo testimonio se reduce a un título sin detalles, lo cito como señal y no como prueba, pero recuerda que los agentes que hablan entre sí también se fían unos de otros.

Skills, plugins, MCP: las puertas que Claude no vigila

Los skills, plugins, hooks y servidores MCP son las extensiones que se instalan para darle nuevas capacidades a Claude. Su peligro no viene del texto que Claude lee, sino del código que se ejecuta con tus permisos en tu equipo. En ese caso, la vigilancia del modelo sencillamente no interviene.

¿Cómo puede un archivo de skill engañar a Claude?

En su vídeo, RobBot esconde en un skill una línea que pide terminar cada respuesta con «Plátano» sin mencionarlo. Primer intento, muy visible: Claude se niega y señala el archivo. Segundo intento, disfrazado de regla anodina del tipo enlace publicitario: Claude obedece, pero indica de dónde viene la instrucción. Tercer intento: Claude no nota nada.

En tres intentos, una sola detección clara. Por eso nunca confío en el criterio de Claude para revisar un skill en mi lugar.

¿Por qué un plugin escapa a cualquier vigilancia de la IA?

Un plugin o un hook no es texto que interpretar, es un programa. En el mismo vídeo, una carpeta de GitHub abierta en Claude Code, tras hacer clic en «Confiar», creó un archivo Banana.txt sin que Claude lo escribiera: un comando de hook se había disparado solo. La documentación de Anthropic es clara en este punto: un plugin puede ejecutar cualquier código con tus permisos.

Hay casos reales. Siempre según el vídeo, unos investigadores detectaron 341 skills maliciosos en un marketplace en febrero, y un falso módulo MCP para el correo copió en secreto cada mensaje hacia el atacante en septiembre de 2025. El código se ejecutaba sin problemas, no había nada que «detectar» por parte de la IA. Mi página sobre la carpeta .claude y sus skills, comandos y agentes explica dónde se alojan estos archivos.

¿Qué puertas de entrada hay que vigilar primero?

FUENTE: Anthropic, Oasis Security, transcripciones citadas · ACT. 10/2026

La última fila merece un comentario. En marzo de 2026, Oasis Security demostró que el parámetro claude.ai/new?q= aceptaba etiquetas HTML invisibles en el cuadro de texto, pero que Claude procesaba tras pulsar Intro. Encadenado con una fuga a través de la API Files, permitía robar el historial de una conversación en una sesión estándar, sin integraciones ni MCP. Según Oasis, el fallo de inyección se corrigió tras comunicárselo a Anthropic.

Las salvaguardas que importan para una pyme

Las salvaguardas que importan para una pyme no pretenden hacer infalible a Claude, sino limitar los daños cuando se equivoca. Tres palancas bastan para cubrir lo esencial: reducir los permisos del agente, controlar sus acciones fuera del modelo y revisar todo lo que se instala. Se derivan de un principio que defiendo en todas partes: el control humano y la seguridad deben seguir en el centro; si no, la IA genera caos en lugar de ahorrar tiempo.

¿Qué permisos dar a un agente para que un error no pase a mayores?

Empieza en modo manual: Claude Code pide entonces autorización antes de modificar un archivo o ejecutar un comando, según la documentación de Anthropic. Activa la sandbox con /sandbox para limitar lo que pueden tocar los comandos.

Sobre todo, evita la opción --dangerously-skip-permissions. Lasso Security la describe como tentadora y aterradora a la vez: combinada con unos cuantos servidores MCP (Notion, GitHub, Slack, base de datos de producción), construye «una superficie de ataque perfecta». Un agente que puede hacerlo todo sin preguntar es un empleado al que cualquier desconocido puede dictarle la jornada.

¿Hace falta una pasarela de control entre el agente y tus herramientas?

Una pasarela de autorización compara lo que el agente quiere hacer con lo que le pediste al principio. La demostración de Permit da una idea: el agente lista tickets de Linear, un ticket «urgente» de cumplimiento normativo le lleva a exfiltrar datos hacia una URL externa, y la pasarela bloquea la llamada. Mide una desviación del 8,2 % respecto a la intención inicial, por encima del umbral fijado del 5 %.

Este enfoque es útil en cuanto el agente toca varios sistemas, pero procede de un proveedor que vende el producto. En una estructura pequeña, tiendo a empezar por permisos bien delimitados y a añadir esta capa solo cuando los accesos se multiplican.

¿Cómo revisar un skill o un plugin antes de instalarlo?

RobBot propone un método en varias fases. Primero, quién lo ha creado: ¿una empresa conocida, una persona con trayectoria o una cuenta abierta ayer? Las estrellas de GitHub no dicen nada del contenido. Después, qué contiene la carpeta entera: no solo el archivo principal, sino también los scripts, los hooks y la configuración, que es lo que Anthropic también recomienda leer de principio a fin.

En nuestro caso, esta es la regla que aplico: ninguna extensión entra en un equipo sin revisión humana. Para el marco general (quién puede instalar qué, qué datos no salen nunca), mi artículo sobre los riesgos y la gobernanza mínima de Claude en la empresa ofrece la base. Si a tus equipos técnicos les faltan manos para ponerlo en marcha, los desarrolladores sénior de GoLive Software saben configurar estos entornos.

Mi veredicto: usa Claude, pero nunca con las llaves de toda la casa

Sí, una pyme puede usar Claude de forma segura, siempre que trate la inyección de prompts como un riesgo permanente y no como un bug en vías de desaparecer. Las mejores cifras publicadas siguen en un 1 % de ataques con éxito, y los modelos no controlan ni los plugins ni los hooks. La seguridad depende, por tanto, de la arquitectura que construyas a su alrededor.

¿Hay que renunciar entonces a los agentes de IA?

No. Creo que las empresas que rechacen la IA mantendrán costes demasiado altos y procesos demasiado lentos, y que las que la usen mal generarán errores y deuda técnica. Entre ambos extremos hay un camino sencillo: un agente, una tarea concreta, permisos mínimos y una persona que valide las acciones irreversibles (pagos, borrados, envíos masivos).

Si tuviera que fijar una sola regla hoy, sería esta: dale a Claude el acceso que tendría un becario el primer día, nunca el del director. Para ver cómo empezar sin escribir código, lee cómo usar Claude Code sin saber programar. El 1 % de Anthropic es aceptable cuando el error no cuesta casi nada, e inaceptable cuando puede vaciar una cuenta.

Preguntas frecuentes

¿Es Claude vulnerable a la inyección de prompts?

Sí, como todos los modelos de lenguaje actuales. Anthropic declara una tasa de éxito de los ataques del 1 % para Claude Opus 4.5 en uso de navegador y reconoce que el problema no está resuelto. Algunos investigadores también han obtenido tasas mucho más altas sobre muestras pequeñas contra el modo automático de Claude Code.

¿Cuál es la diferencia entre la inyección directa y la indirecta?

La inyección directa procede del usuario, que escribe él mismo una instrucción trampa. La indirecta está oculta en un contenido que el agente lee (página web, correo, ticket, archivo README) sin que el usuario lo sepa. La segunda es la más peligrosa para las empresas, porque el atacante no necesita ningún acceso a tus herramientas.

¿Protege lo suficiente el modo automático de Claude Code?

Añade una capa útil: un modelo clasificador independiente examina las acciones y bloquea las que considera arriesgadas, según la documentación de Anthropic. No sustituye ni a la sandbox ni a la limitación de permisos, ya que un investigador demostró una cadena de ataque que eludía este modo con tasas elevadas sobre una muestra reducida.

¿Cómo proteger una pyme que usa Claude con su correo y su CRM?

Concede al agente permisos de solo lectura por defecto y exige una validación humana para cualquier acción irreversible. Activa la sandbox, evita la opción --dangerously-skip-permissions y revisa cada skill o plugin antes de instalarlo. Si los accesos se multiplican, una pasarela de autorización entre el agente y tus herramientas añade un control independiente del modelo.

¿Son peligrosos los skills y plugins de Claude?

Pueden serlo, porque a veces contienen código que se ejecuta con tus permisos sin pasar por el criterio de Claude. Según el vídeo de RobBot, se detectaron 341 skills maliciosos en un marketplace en febrero. Comprueba quién es el autor y lee todos los archivos de la carpeta antes de instalar.

Fuentes

• Securing AI Agents: How to Prevent Hidden Prompt Injection Attacks , IBM Technology
• How to Jailbreak Claude Ai (Opus 5.5) , Tulip eni
• We Tricked Claude Code Into Hacking Itself. Here's What Stopped It. , Permit
• I tried to trick Claude: How to protect yourself from prompt injection (free skill) , RobBot
• Prompt Injection and AI Agent Security Risks: A Claude Code Guide for Enterprise Teams , truefoundry.com
• Detecting Indirect Prompt Injection in Claude Code with Lasso , lasso.security
• Security - Claude Code Docs , code.claude.com
• Mitigating prompt injections in browser use , anthropic.com
• Claude.ai Prompt Injection Vulnerability , oasis.security
• Prompt injection attacks reduced to 0.00000000000% on Claude Auto Mode , r/BetterOffline
• Claude hallucinated its own internal tools, freaked out, and accused me of a prompt injection attack , r/ClaudeAI
• Claude subagent got bored and prompt injected my main session into deleting my database , r/ClaudeAI
• OWASP , owasp.org