Un investigador del programa MATS estaba construyendo un pipeline para generar transcripciones sintéticas de entrenamiento. Con unas horas de ajuste, ese mismo prompt se convirtió en una plantilla de jailbreak reutilizable que rompe la mayoría de las defensas de nueve modelos de siete proveedores distintos.
El hallazgo, publicado en LessWrong, describe un caso poco común: no partió de la intención de atacar, sino de una herramienta legítima de investigación de seguridad. El investigador diseñó un prompt para generar transcripciones sintéticas de conversaciones (útiles para entrenar y evaluar modelos) y descubrió que, con pequeñas modificaciones, ese mismo generador podía usarse como plantilla para insertar cualquier instrucción dañina dentro del formato de una "transcripción" ficticia, lo que confunde a los filtros de seguridad entrenados para reconocer solicitudes directas.
La plantilla se evaluó contra ClearHarm, un conjunto de 179 prompts de daño en categorías CBRNE (químico, biológico, radiológico, nuclear, explosivos) y ciberataques, corriendo la prueba en 23 modelos de 7 proveedores distintos.
La mayoría de los jailbreaks publicados funcionan contra un modelo específico y pierden efectividad en cuanto el proveedor ajusta sus filtros. Lo que hace relevante este caso es que la misma plantilla, sin cambios sustanciales, transfirió entre arquitecturas y proveedores distintos. Eso sugiere que el punto débil no es un descuido puntual de un modelo, sino un patrón compartido en cómo los sistemas de seguridad actuales distinguen contenido "narrativo" o "sintético" de instrucciones directas.
Si tu empresa integra un LLM de terceros en un flujo con acceso a datos sensibles, herramientas o acciones automatizadas, este tipo de hallazgo es una señal de que los guardrails del proveedor no son la única línea de defensa. Antes de exponer un modelo a usuarios externos o a agentes con permisos de escritura, conviene: (1) aplicar filtrado adicional a nivel de aplicación, independiente del que ofrece el proveedor del modelo; (2) probar los propios flujos contra benchmarks públicos de jailbreak como ClearHarm antes de producción; y (3) monitorear que las actualizaciones de seguridad de tu proveedor de modelo lleguen con la frecuencia que promete, ya que el patrón de vulnerabilidad compartido entre proveedores implica que un parche aislado no basta.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel