Un prompt injection normal es como una trampa que se activa una vez. El envenenamiento de memoria es una trampa que un agente carga consigo y puede activar semanas después, contra una persona completamente distinta a la que la plantó.
El envenenamiento de memoria de IA es un ataque persistente contra la memoria de un agente, donde un atacante escribe contenido malicioso en la memoria de largo plazo del agente para que actúe sobre ese contenido en sesiones futuras. A diferencia de un prompt injection, que desaparece cuando se cierra la ventana de chat, la memoria envenenada persiste entre cada interacción subsecuente y puede dirigir decisiones para otro usuario distinto semanas después — el ataque y su efecto están temporalmente desacoplados, lo cual complica enormemente la atribución y la respuesta a incidentes.
OWASP reconoció esta distinción en 2026 agregando "Memory and Context Poisoning" como ASI06 a su Top 10 de IA Agéntica — una señal de que dejó de ser una curiosidad académica para convertirse en una categoría de riesgo formalmente reconocida que cualquier programa de seguridad de agentes debería cubrir explícitamente.
Investigación reciente muestra tasas de éxito de ataque de 80%, 95%, e incluso 99.8% contra implementaciones de agentes basados en LLM, dependiendo de las condiciones. El ataque MINJA (Memory Injection Attack), presentado en NeurIPS 2025, logra más de 95% de tasa de éxito de inyección y 70% de tasa de éxito de ataque bajo condiciones idealizadas — y demostró que un atacante puede envenenar la memoria de un agente con nada más que consultas aparentemente normales, sin necesitar acceso privilegiado de ningún tipo.
En diciembre de 2025, investigadores publicaron MemoryGraft, un ataque que compromete agentes de IA plantando entradas maliciosas en su memoria de largo plazo a través de contenido que luce completamente benigno — el ataque no depende de texto obviamente sospechoso, sino de contenido diseñado para pasar cualquier revisión superficial mientras cumple su función maliciosa una vez que el agente lo recupera de memoria en un contexto futuro.
Dado que el contenido malicioso puede lucir completamente normal en el momento de escribirse en memoria, la defensa no puede depender solo de filtrado de contenido en el punto de entrada — hace falta auditar periódicamente qué hay realmente almacenado en la memoria de largo plazo de un agente, limitar qué fuentes pueden escribir en esa memoria sin revisión, y tratar cualquier capacidad de memoria persistente como una superficie de ataque que necesita su propio modelo de amenaza, separado del que ya aplicás a prompt injection tradicional.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel