Ocho jailbreaks, toda la industria, casi ninguna respuesta

Un investigador documenta ocho técnicas que eluden las salvaguardas de ChatGPT, Claude, Gemini, Llama, Grok, Qwen y similares. Lo más preocupante no es la vulnerabilidad, sino el silencio que siguió a la divulgación.

En términos sencillos

Un investigador en seguridad descubrió ocho formas de eludir las protecciones de los grandes modelos de lenguaje —no de uno solo, sino de casi todos. Las técnicas se basan en manipular el contexto en lugar de usar palabras prohibidas, y permitieron extraer contenidos que los modelos deberían rechazar. Publicado en IEEE Spectrum, este trabajo plantea menos un problema técnico que uno de proceso.

Lo que se encontró

David Kuszmar, investigador en IA del laboratorio Gazzetta y experto independiente en ciberseguridad, documentó junto a Matthew Gore-Kormanik ocho métodos distintos. Dos ejemplos ilustran el principio:

• Time Bandit manipula el contexto temporal del modelo (cuatro prompts, complejidad media);
• Inception anida escenarios dentro de otros escenarios (tres prompts, alta complejidad).

A estos se suman 1899, Severance, Kyber, Semantic Slide y Eidolon. Lo destacado es su alcance: según el artículo, las técnicas afectan a «the bulk of the commercial AI industry» —ChatGPT/GPT-4o, Claude, Gemini, Llama, Copilot, DeepSeek, Grok, Le Chat/Vibe de Mistral, Qwen—. Los contenidos obtenidos incluyen instrucciones para producir metanfetamina, enriquecer uranio, fabricar artefactos incendiarios, venenos, código malicioso y estrategias de armas biológicas.

Bajo el capó

Midamos con precisión el problema, sin catastrofismo. Estos ataques no «rompen» el modelo: explotan el hecho de que el alineamiento es un comportamiento estadístico condicionado por el contexto, no una regla verificada de forma rígida. Si desplazas suficientemente el marco —otra época, una ficción dentro de otra ficción—, la distribución de respuestas consideradas aceptables se desplaza con él. El rechazo no es un if, es una pendiente.

Por eso el mismo esquema de ataque atraviesa arquitecturas, conjuntos de datos y equipos de alineamiento distintos: la vulnerabilidad es estructural al método, no propia de un proveedor. Y por eso la remediación mediante filtrado de patrones falla: no hay un patrón, hay un encuadre.

Una advertencia sobre el impacto real: «obtener instrucciones» no equivale a «adquirir capacidad». El factor limitante de un arma biológica nunca ha sido el acceso a la literatura. El riesgo serio se sitúa más bien en usos de baja barrera —código malicioso, ingeniería social a escala— donde el modelo realmente ahorra tiempo al atacante.

¿Y entonces?

El verdadero escándalo está en otro lugar. Kuszmar señala que «the response to the disclosure was almost nil»: la divulgación, canalizada a través del sistema CERT/SEI de Carnegie Mellon, solo recibió acuses de recibo estándar.

Una industria que exige la confianza de empresas y Estados debe tener un circuito de divulgación coordinada que funcione. El software clásico tardó veinte años en construirlo: CVE, recompensas por errores, plazos de corrección, publicación. La IA está en la etapa de «gracias por su mensaje».

Si despliegas modelos en producción, no cuentes con el alineamiento del proveedor como control de seguridad. Es una capa de reducción de riesgo, no una frontera. La frontera es lo que pones alrededor: validación de salidas, permisos mínimos de herramientas y un humano donde la acción es irreversible.