Un chatbot de soporte público recibe el mensaje Necesito ayuda para restablecer mi contraseña, recupera el artículo de ayuda sobre cuentas y devuelve los pasos aprobados para el restablecimiento. Su comportamiento seguro depende de algo más que el texto de la respuesta. La aplicación también gestiona instrucciones del sistema, documentos recuperados, herramientas opcionales de la cuenta, datos del usuario y registros. Un jailbreak es un intento de hacer que el modelo infrinja sus normas de seguridad o los límites de comportamiento previstos a través de la entrada de datos. En este chatbot, el intento se origina en la entrada del usuario y tiene como objetivo el comportamiento de seguridad del modelo.
El riesgo inmediato puede ser una respuesta insegura, pero el riesgo mayor surge cuando dicha respuesta influye en otro componente. Si el modelo puede invocar la función lookup_order (consultar pedido), una salida alterada podría solicitar datos ajenos a la cuenta del usuario. Si el modelo solo genera texto y la aplicación verifica cada acción mediante código, ese mismo comportamiento anómalo tiene un impacto menor. Por ello, rastreamos tanto el punto de entrada del contenido no confiable como los elementos a los que la aplicación circundante permite acceder a la salida del modelo. Observe los límites de confianza en este flujo de chat de soporte:
El flujo de procesamiento del chatbot ilustra por qué el jailbreak forma parte de un problema más amplio relacionado con las entradas de datos. Una inyección de prompt (o inyección de instrucciones) se produce cuando el contenido altera el comportamiento del modelo de una manera no prevista por el desarrollador de la aplicación. Los modelos de lenguaje actuales procesan las instrucciones del sistema, los mensajes del usuario, los fragmentos de información recuperados y los resultados de herramientas dentro de un contexto de tokens compartido. Etiquetas como USER_DATA pueden aclarar la intención, pero no establecen un límite de seguridad efectivo.
El jailbreak es un subconjunto de la inyección directa de prompt cuyo objetivo es eludir los protocolos de seguridad del modelo. La inyección directa llega a través del mensaje del usuario, por ejemplo, mediante una solicitud que entra en conflicto con su rol de soporte. La inyección indirecta llega a través de contenido que el modelo lee, como un artículo de ayuda recuperado que contiene una frase con formato de instrucción. En ambos casos, el objetivo es alterar el comportamiento del modelo. La fuente de origen determina dónde deben aplicarse los controles.
OWASP clasifica esta categoría como LLM01:2026 Prompt Injection. Esta categoría distingue el fallo en la entrada de datos de la divulgación de información sensible (relacionada con lo que se emite en la respuesta) y de la agencia excesiva (relacionada con las consecuencias de que una respuesta conduzca a acciones privilegiadas). En el caso de nuestro chatbot, un mensaje de usuario que modifica la respuesta constituye una inyección directa; un artículo recuperado malicioso (poisoned) supone una inyección indirecta; y un intento directo de vulnerar las medidas de seguridad se considera un jailbreak. A continuación, se comparan la fuente, el objetivo y las opciones de contención: