Suplantación de rol: cuando la salida de una herramienta se hace pasar por el usuario
Un artículo de arXiv del 29 de octubre de 2026 muestra que una falsa estructura junto con contenido que imita al usuario hace pasar la salida de una herramienta por el usuario, hasta un 100 % de éxito. Las sondas lineales permiten detectarlo.
¿Qué es esto?
El 29 de octubre de 2026, Ezra Edelman, Benjamin Edelman, Surbhi Goel y Eran Malach publicaron «Understanding and Mitigating Role Spoofing in LLMs» (arXiv, cs.CR). El artículo estudia una forma de inyección de prompts en la que texto malicioso dentro de la salida de una herramienta (una página web o un correo que lee un agente) se hace pasar por el usuario, en lugar de limitarse a dar órdenes.
Se apoya en la «confusión de rol» (ICML 2026, arXiv:2603.12277): los modelos deducen quién escribió un texto por su estilo y no por su origen etiquetado. Cubrimos ese trabajo en un artículo anterior; este añade la mitad estructural.
Es investigación académica sobre una debilidad de diseño, no una vulnerabilidad divulgada en un producto concreto.
Cómo funciona
Los autores observan que los modelos deciden «quién dijo qué» con dos tipos de pistas: pistas de contenido (redacción, tono, semántica) y pistas de estructura (formato y marcadores que imitan la plantilla de conversación). Cada modelo pondera estas pistas de forma distinta.
La suplantación de rol combina ambas: texto que suena como el usuario, vestido con una falsa estructura que imita el formato de la conversación. Los tokens de control reales no pueden aparecer dentro del contenido, así que la imitación es texto corriente que el tokenizador trata como tokens normales, pero que aun así puede alterar la creencia del modelo sobre quién habla. No hace falta una carga operativa y este artículo no reproduce ninguna.
Resultados que informan los autores:
- En un banco de pruebas de uso de herramientas a medida, el éxito de la inyección fue del 100 % para GPT-5.4, Claude Opus 4.8 y Claude Opus 5, 98,8 % para Claude Sonnet 5, 98,5 % para Gemini 3.5 Flash y 72,5 % para Gemini 3.1 Pro.
- En una suite AgentDojo (espacio de trabajo) modificada, las razones inyección/control fueron del 63,1 % al 103,6 %. Los autores señalan que el arnés se hizo más permisivo, por lo que las cifras no son comparables con la configuración por defecto.
- En un entorno de juguete, el entrenamiento adversarial contra inyecciones de contenido corrigió esa debilidad pero dejó funcionando la suplantación estructural; el ajuste fino de Qwen3.5-27B contra un tipo de inyección se transfirió poco al otro.
Por qué importa
Los modelos de frontera resisten muchas inyecciones clásicas, por lo que una defensa eficaz contra textos del tipo «ignora las instrucciones anteriores» puede generar falsa confianza. Este resultado sugiere que entrenar contra una familia de pistas deja abierta la otra. Como el texto inyectado reclama la autoridad del usuario, el agente puede concederle permisos que negaría al resultado de una herramienta. Cualquier agente que lea páginas, correos o documentos no fiables en el mismo contexto que las peticiones del usuario está afectado.
Defensas
Los autores proponen detectarlo con sondas lineales sobre las activaciones del modelo, entrenadas con conversaciones sintéticas sin inyecciones para predecir el rol real de cada segmento. Se marca el segmento que el modelo atribuye internamente a un rol contradictorio. Informan de una separación casi perfecta en pruebas reservadas y de mejores tasas de verdaderos positivos con 0–1 % de falsos positivos que las referencias comparadas.
Medidas prácticas para quienes construyen agentes:
- No depender de un único arreglo de entrenamiento. Probar la suplantación por contenido y por estructura.
- Sanear y delimitar el contenido no fiable. Eliminar o escapar imitaciones de marcadores de rol en las salidas de herramientas y señalar la procedencia fuera del canal de texto.
- Condicionar las acciones sensibles a una confirmación fuera de banda. Exigir aprobación explícita del usuario para llamadas de alto impacto en lugar de fiarse del hablante aparente.
- Aplicar el mínimo privilegio. Limitar lo que el agente puede hacer tras leer contenido no fiable.
- Evaluar las sondas antes de confiar en ellas. El artículo indica que solo detectan suplantación de rol, no otras inyecciones, y que son sensibles a la redacción de la consulta.
Estado
| Elemento | Detalle |
|---|---|
| Fuente | arXiv:2610.40396 v1, enviado el 29 de octubre de 2026 |
| Naturaleza | Estudio académico con varios modelos comerciales y de pesos abiertos |
| Parche del proveedor | No aplica; debilidad de diseño. La detección con sondas es una propuesta de investigación |
| Limitaciones | Las sondas solo cubren la suplantación de rol; resultados con una variante permisiva de AgentDojo |