Investigadores muestran cómo manipular agentes de IA empresariales

Si una pyme descubre que su agente de IA ha seguido instrucciones que nadie de su equipo aprobó, la primera pregunta práctica es cuánto trabajo habría que revisar y cuánto tiempo llevará. Check Point Research ha descrito una manipulación persistente de las instrucciones y configuraciones de agentes, denominada «prompt adware», pero su análisis no cifra el coste de corregir sus efectos. La cuenta depende de las tareas afectadas, las horas de revisión y la tarifa que introduzca cada empresa.

El hallazgo ilustra un riesgo operativo que puede resultar menos visible que una interrupción del servicio: el agente sigue funcionando, pero su comportamiento podría haber sido alterado por instrucciones incorporadas sin conocimiento de la empresa. La prioridad consiste en averiguar qué cambió, qué tareas pudo afectar y si alguna salida o acción requiere revisión humana.

¿Qué han demostrado los investigadores sobre el prompt adware?

Según la información publicada por Europa Press sobre el análisis de Check Point Research, el prompt adware modifica de forma persistente elementos que guían a un agente: instrucciones globales escritas en lenguaje natural, skills o archivos de configuración. La diferencia con el adware convencional es el punto de intervención. En vez de limitarse a un programa que presenta publicidad, cambia las condiciones bajo las que el agente responde o actúa.

El caso se detectó al analizar Haiou, un paquete de jailbreak en OpenAI Codex. Las instrucciones modificadas hacían que anuncios de una pasarela de IA de terceros aparecieran cuando se introducían saludos corrientes. Para una empresa, la relevancia no está solo en la publicidad: el mismo principio de manipulación podría servir para alterar recomendaciones o promover acciones no autorizadas. La fuente describe esa posibilidad como un riesgo, no como un daño que se haya producido en este análisis.

Hay una distinción importante para medir el alcance del hallazgo. Los investigadores probaron también Claude Code de Anthropic, que identificó el intento de inyección de prompts y se negó a ejecutarlo. Europa Press señala asimismo que en el análisis no se observó robo de datos corporativos. Por eso conviene contar el episodio como una demostración de una técnica y no como evidencia de que se hayan exfiltrado datos o comprometido empresas mediante ese paquete.

¿Por qué afecta a una empresa aunque el agente siga respondiendo?

Un agente puede parecer operativo y aun así haber recibido instrucciones persistentes que cambian algunas respuestas o acciones. Esa posibilidad obliga a mirar más allá de la disponibilidad del servicio: una revisión debe considerar qué instrucciones estaban activas, qué componentes de terceros tenían acceso al entorno y qué trabajo pudo generarse mientras el agente operaba con una configuración alterada.

La noticia recoge una previsión de Gartner: el 40 % de las aplicaciones empresariales incluiría agentes de IA específicos para tareas a finales de 2026, frente a menos del 5 % en 2025. También recoge datos del informe The ROI of AI 2025 de Google Cloud sobre los ámbitos en los que suelen centrarse los agentes: atención y experiencia del cliente (49 %), marketing (46 %), operaciones de seguridad y ciberseguridad (46 %) y soporte técnico (45 %). Son ámbitos distintos y los porcentajes no deben sumarse; sirven para mostrar por qué varias áreas de una organización podrían necesitar criterios de revisión.

¿Cuánto costaría revisar y corregir el trabajo de un agente de IA que hubiera sido manipulado?

No existe en la noticia una tarifa por incidente ni un número de tareas afectadas. Para obtener una aproximación propia, multiplica el número de tareas que habría que revisar por el tiempo medio que requiere cada una y por el coste interno de una hora de revisión. Si además hay que corregir resultados, registra esas horas por separado para evitar presentar una estimación parcial como coste total.

Ejemplo ilustrativo: una empresa introduce 20 tareas afectadas, 0,5 horas de revisión por tarea y un coste de 40 euros por hora. La operación es 20 × 0,5 × 40: el coste estimado de revisión sería 400 euros. Es una cuenta hipotética con variables editables, no una cifra atribuida a Check Point ni una predicción de lo que costaría un incidente real. No incluye interrupciones, pérdidas comerciales ni trabajos de corrección que la empresa no haya introducido.

El cálculo es deliberadamente sencillo: no asigna un valor universal al riesgo ni presupone que todas las tareas tengan la misma complejidad. Una respuesta que solo exige comprobar una recomendación puede requerir menos tiempo que una acción que implique un cambio en un proceso de la empresa. Si existe más de un tipo de trabajo afectado, resulta más útil hacer una fila por tipo y sumar los resultados.

Para adaptar la estimación a cada organización, pueden consultarse otras calculadoras de Diario Económico. El resultado sirve como referencia de horas de revisión; no demuestra por sí mismo que haya ocurrido una manipulación, ni sustituye el análisis técnico del agente y de sus archivos de instrucciones.

¿Qué debería revisar primero el equipo de la empresa?

Check Point Research recomienda mantener una visión completa del uso de IA: identificar los agentes y componentes de terceros, revisar prompts, skills y configuraciones que condicionan su comportamiento, y monitorizar cambios en las instrucciones globales y los archivos de configuración. También aconseja evaluar a qué información confidencial puede acceder cada agente y qué elementos externos pueden influir en sus acciones.

Traducido a una revisión interna, eso implica poder contestar preguntas concretas: qué agentes están en uso, quién mantiene sus instrucciones, qué componentes se han incorporado y qué tareas dependen de ellos. Si aparece una modificación no reconocida, la empresa puede contrastar la configuración actual con la aprobada y determinar qué salidas conviene volver a comprobar. La noticia no fija una lista de comprobaciones ni un plazo universal; el alcance dependerá de los permisos y del uso de cada agente.

El portal de INCIBE para empresas reúne recursos de ciberseguridad y canales de ayuda que pueden servir de orientación a organizaciones que estén ordenando su respuesta. Por su parte, las notas de prensa del INE incluyen estadísticas oficiales sobre la actividad económica y el uso de tecnologías en empresas, entre ellas la encuesta sobre TIC y comercio electrónico. Ninguno de esos portales aporta una estimación del coste del prompt adware: la cuantificación del caso debe construirse con datos internos.

¿Qué dicen las otras noticias sobre el contexto de la IA empresarial?

La actualidad alrededor de la IA empresarial incluye debates sobre el coste de uso de los modelos. Expansión ha informado de la competencia de precios entre OpenAI y Anthropic y de empresas que han limitado el gasto en herramientas de programación con IA. El gasto en tokens y la revisión de trabajo alterado son partidas diferentes: una factura menor de uso no elimina la necesidad de comprobar instrucciones, permisos o resultados.

En otro ámbito, Xataka ha explicado las decisiones de entrenamiento de Hy4, el modelo de Tencent, incluida la exclusión declarada de ciertos materiales ofensivos de ciberseguridad. Ese asunto trata de qué información participa en el desarrollo de un modelo; el prompt adware descrito aquí trata de cambios persistentes en instrucciones y configuraciones de un agente. Son capas diferentes de seguridad y no conviene confundirlas.

¿Qué conclusión puede sacar una pyme?

El caso Haiou muestra que las instrucciones y configuraciones merecen controles junto con el modelo y el software que lo rodea. También muestra límites relevantes: en las pruebas citadas, Claude Code rechazó el intento, y los investigadores no observaron robo de datos corporativos. La demostración identifica un método de manipulación; no aporta una factura tipo ni acredita por sí sola daños empresariales generalizados.

Para una pyme, la preparación más concreta es saber qué agentes se utilizan, quién puede modificar sus instrucciones y qué trabajo debería revisarse si aparece un cambio inesperado. La cifra de la calculadora ayuda a dimensionar la revisión con variables propias. Si la comprobación revela cambios no aprobados o acceso a información sensible, hará falta evaluar el incidente con el equipo técnico y de seguridad correspondiente, documentando las tareas afectadas y las medidas tomadas.