Publicamos este artículo el 12 de noviembre de 2026 y lo marcamos como incorrecto el 13 de noviembre de 2026. Sigue en línea, marcado, porque un error borrado no enseña nada. Nuestras correcciones anteriores contra órdenes ocultas cambian todo el modelo, así que también cambian un poco las respuestas normales. Esta versión lee dentro del modelo qué palabras llevan una acción inyectada y activa una pequeña corrección solo en esas palabras. En un modelo abierto de 7B, un atacante que se adapta al modelo ganó 212 de 310 casos de práctica contra el modelo original y 3 contra el corregido. En 100 casos reservados el mismo atacante pasó de 67 éxitos a 0. El trabajo está en curso: el lector todavía se activa con algo de texto normal.
<div style="border:5px solid #c62828;color:#c62828;font-weight:800;font-size:26px;letter-spacing:.08em;text-align:center;padding:14px 10px;margin:8px 0 24px;transform:rotate(-3deg);text-transform:uppercase;">Incorrecto · se conserva como registro del error</div>
## Por qué este artículo es incorrecto
Publicamos este artículo el 12 de noviembre de 2026 y lo marcamos como incorrecto el 13 de noviembre de 2026. Sigue en línea, marcado, porque un error borrado no enseña nada.
**Una corrección hace que un modelo obedezca menos las órdenes plantadas. No lo detiene.** Un modelo aprende de ejemplos, y lo que pasa es el ejemplo que nadie pensó en mostrarle. El 12 de noviembre de 2026 lanzamos un atacante más fuerte contra nuestro modelo corregido de 32B, uno que reescribe su texto hasta 800 veces por caso: pasó en al menos 26 de 80 casos (al menos 68 de 80 en el modelo tal como se publica).
**Las cifras de este artículo son recuentos frente a los ataques que teníamos ese día.** Son ciertas como recuentos. No dicen nada del próximo atacante, y un agente está expuesto sin hacer nada: le basta con leer.
**Nadie puede garantizar esta protección, y el artículo dejaba que se leyera como tal.** Que una acción sea deseada depende de lo que el dueño pretendía, y eso no está escrito en ningún lugar que una herramienta pueda leer. Palabras como "detiene", "resiste", "ignora", "protege" o "nunca" en el texto de abajo son incorrectas.
---
**El texto original, tal como se publicó**
## La idea
Un asistente que lee correos, páginas web o resultados de herramientas puede ser dirigido por una frase oculta en lo que lee: envía este archivo, transfiere este dinero, concede este acceso. Nuestras correcciones anteriores lo resuelven en los pesos del modelo y funcionan, pero cambian todo el modelo, así que las respuestas normales también se mueven un poco.
Esta versión hace dos cosas en una sola pasada:
- **Lee.** Un pequeño lector dentro del modelo, en una de sus capas internas, marca las palabras que llevan una acción inyectada en el texto que el modelo debe leer. Construimos y probamos ese lector por separado: en textos en cinco idiomas encuentra unas 99 órdenes ocultas de cada 100.
- **Corrige solo ahí.** Una pequeña corrección está en las capas posteriores al lector y se multiplica, palabra por palabra, por la marca del lector. Donde no hay marca, el modelo funciona exactamente como se publicó.
## Primeros resultados en un modelo abierto de 7B
Todas las cifras vienen de la misma máquina y del mismo modelo comprimido (4 bits), así que la única diferencia entre las columnas es la corrección.
```chart
{"title": "Casos de práctica ganados por un atacante que se adapta al modelo, de 310", "series": ["Original", "Corrección de todo el modelo", "Corrección que se activa"], "unit": "", "max": 310, "rows": [["Casos ganados con hasta 10 intentos", 212, 3, 3]], "note": "Menos es mejor. Benchmark público de agentes (InjecAgent, daño directo), el atacante escribe una nueva inyección tras cada fallo. La cifra de la corrección de todo el modelo es tras 9 de 10 intentos."}
```
- **Contra los ataques fijos del benchmark**, en 100 casos reservados: 4 tienen éxito en el modelo original, 0 con cualquiera de las dos correcciones.
- **Contra el atacante que se adapta, en los casos reservados**: 67 de 100 tienen éxito en el modelo original. Con la corrección que se activa, 0 de 100 tienen éxito tras los 10 intentos.
- **El modelo sigue haciendo su trabajo.** Respondió a las 100 peticiones normales y ejecutó cada acción que el usuario pidió.
## Lo que aún no está resuelto
La corrección debería dejar intactas las conversaciones normales. Cuando el lector no marca nada, así es: la respuesta es idéntica a la del modelo original, palabra por palabra. Pero el lector todavía marca algunas palabras en muchos resultados de herramientas normales, sobre todo frases libres cortas dentro de datos estructurados, como la reseña de un producto. Cada marca falsa cambia un poco la respuesta, así que tras una segunda ronda sobre el lector, cerca de una respuesta normal de cada dos es idéntica a la del modelo original, frente a un objetivo de nueve de cada diez. Enseñar al lector que una frase dentro de un campo de datos no es una orden es el siguiente paso, y el mismo diseño se está llevando a un modelo de 32B.
Es un trabajo en curso: un solo tamaño de modelo, un solo benchmark, casos de prueba en inglés y un atacante con 10 intentos por caso.
<div style="border:5px solid #c62828;color:#c62828;font-weight:800;font-size:26px;letter-spacing:.08em;text-align:center;padding:14px 10px;margin:8px 0 24px;transform:rotate(-3deg);text-transform:uppercase;">Incorrecto · se conserva como registro del error</div>
Esta novedad no está disponible.