CrowdStrike suma ataques a la planificación de agentes a su taxonomía de inyección de prompts, que llega a 222 técnicas

CrowdStrike ha publicado una nueva versión de su taxonomía pública de inyección de prompts, que alcanza las 222 técnicas. En una entrada de blog fechada el 29 de octubre, los investigadores Vanessa Villa y Jim Hoagland se centran en una categoría casi inexistente cuando la inyección de prompts consistía en engañar a un chatbot: los ataques contra la forma en que los agentes autónomos planifican su trabajo.

Atacar el plan, no la petición

Un agente recibe un objetivo, lo divide en subtareas, elige herramientas y las ejecuta. Según CrowdStrike, quien logre influir en el contexto a partir del cual el agente planifica puede hacer que una acción prohibida parezca el siguiente paso lógico, sin enviar nunca una petición que un filtro pudiera detectar.

Dos entradas nuevas describen este mecanismo. Goal Decomposition Exploitation (PT0227) introduce una tarea extra en el desglose del objetivo o cambia lo que hace un paso. En el ejemplo de CrowdStrike, un agente encargado de arreglar pruebas fallidas acaba enviando archivos de configuración a un supuesto servicio de diagnóstico, lo que equivale a exfiltrar datos. Constraint-Driven Task Steering (PT0228) actúa de forma indirecta: el atacante bloquea la ruta habitual del agente para que la alternativa que él preparó sea la elegida.

Otras novedades

La actualización añade también Session State Spoofing (PT0240), que inserta un falso resumen del sistema, como una nota de compactación del contexto o un registro de memoria, para presentar hechos o aprobaciones inventados como historial verificado. CrowdStrike considera que afecta sobre todo a sistemas que comprimen el contexto o guardan registros de estado de los agentes. Output Exclusion Prompting (PT0237) prohíbe las expresiones que los modelos suelen usar para negarse o matizar.

El texto agrupa además técnicas según la fase del procesamiento que perturban: tokens de control y etiquetas, evaluación lógica, capacidad de atención y generación de la respuesta. Algunas ya existían, como Cognitive Token Suppression, incorporada en la actualización de julio que llevó la taxonomía por encima de las 200 entradas.

Recomendaciones y límites

CrowdStrike aconseja proteger el plan en su conjunto y no solo peticiones o respuestas aisladas, evaluar cada paso en contexto, alinear las defensas con las fases del procesamiento y probar la cobertura rama por rama. También pide describir los incidentes con una terminología común y mantener visibilidad en tiempo real sobre lo que hacen los agentes. La entrada sirve en parte para promocionar su producto Falcon Guardian y no indica cuántas técnicas se añadieron en esta versión ni con qué frecuencia se observan estos ataques en la práctica. La taxonomía puede consultarse en formato interactivo en la web de CrowdStrike.