Agente Zombi es el nombre del sofisticado ataque que logró romper las defensas de ChatGPTpermitiendo la extracción de información privada de los usuarios incluso después de las recientes actualizaciones de seguridad implementadas por Abierto AI. El descubrimiento, realizado por investigadores de Radioware y publicado en Técnica Arsexpone la facilidad con la que evolucionan las amenazas a las plataformas de inteligencia artificial y las dificultades para proteger los datos personales ante técnicas cada vez más avanzadas.
El ataque permitió a los investigadores acceder a datos confidenciales aprovechando la flexibilidad del modelo, que acepta entradas del usuario y almacena instrucciones maliciosas en la memoria a largo plazo del sistema. Según Radware, este enfoque proporciona persistencia a la amenaza al mantener activa la lógica maliciosa después de la primera inyección. Los datos se transfieren desde los servidores ChatGPT, sin dejar rastro en los dispositivos de los usuarios.
Ataques anteriores, como Fuga de sombratambién identificado por Radware, ya había demostrado la posibilidad de extraer datos modificando parámetros en las URL administradas por ChatGPT. Ante esto, OpenAI restringió la apertura de enlaces solo a URL proporcionadas explícitamente por el usuario, impidiendo que el asistente concatenara o modificara los enlaces, medida que detuvo temporalmente a ShadowLeak.
Adaptarse a ZombieAgent solo requirió cambiar la forma de inyectar instrucciones, presentando una lista de enlaces creados para cada personaje a extraer. De esta forma, el sistema transfería información pieza por pieza utilizando direcciones predefinidas. El ataque fue viable porque las limitaciones anteriores no impedían agregar una sola letra o dígito a la URL, permitiendo nuevamente la filtración de datos.
Tras el descubrimiento de ZombieAgent, OpenAI implementó nuevas restricciones: ChatGPT ahora bloquea la apertura de enlaces extraídos de correos electrónicos, a menos que aparezcan en un índice público conocido o sean proporcionados directamente por el usuario en la sesión de chat.. El objetivo es impedir el acceso a dominios gestionados por atacantes, aunque esta medida no soluciona la raíz del problema.
Expertos consultados por Técnica Ars Advierten que este ciclo de vulnerabilidades y respuestas temporales es constante. La principal dificultad es que los modelos de inteligencia artificial no tienen mecanismos para diferenciar las instrucciones genuinas de las manipuladas, especialmente si provienen de fuentes externas como los correos electrónicos. Los investigadores de Radware explicaron: «Los atacantes pueden diseñar fácilmente instrucciones que técnicamente se ajusten a las reglas y aun así lograr sus objetivos maliciosos».
El riesgo afecta tanto a usuarios individuales como a organizaciones que utilizan asistentes de inteligencia artificial en sus operaciones. Esta amenaza mantiene alerta a los administradores de tecnología y especialistas en seguridad empresarial, obligados a revisar y actualizar continuamente las restricciones para abordar nuevas tácticas de explotación.
En este contexto, crece la preocupación entre las empresas que integran ChatGPT en sus servicios, ya que la exposición de datos podría tener consecuencias legales y regulatorias, especialmente en regiones con estrictas regulaciones de privacidad. La falta de una solución definitiva requiere un seguimiento constante y la implementación de controles adicionales para mitigar los riesgos.
La evidencia muestra que las soluciones rápidas y específicas, como restricciones específicas, no ofrecen protección estructural contra este tipo de ataques de minería de datos. La inyección de instrucciones sigue siendo una amenaza y, como concluye Radware Técnica Ars, Aún no existe una solución fundamental capaz de erradicar este tipo de vulnerabilidad.
