-
Un experimento con Grok evidenció riesgos de la inyección indirecta de instrucciones.
-
Los agentes de IA agregan una nueva capa al modelo de amenazas.
Durante años, la seguridad de las criptomonedas se ha centrado en proteger las claves privadas, las frases semilla y los dispositivos donde estas se almacenan. Sin embargo, el avance de los agentes de inteligencia artificial capaces de ejecutar operaciones financieras está ampliando la superficie de riesgo hacia un elemento que hasta hace poco no formaba parte del modelo de amenazas: el razonamiento del propio agente.
Un ejemplo reciente fue documentado por CriptoNoticias al analizar un experimento con Grok, donde un investigador ocultó instrucciones en código Morse dentro de una imagen. Aunque esas indicaciones no eran visibles para el usuario, el modelo las interpretó y modificó su respuesta siguiendo las órdenes escondidas, un tipo de ataque conocido como indirect prompt injection (inyección de prompt indirecta). El experimento demuestra que un modelo puede obedecer instrucciones invisibles para el usuario.
El incidente no involucró el robo de fondos ni el acceso a wallets. Sin embargo, constituye una muestra de cómo un modelo de IA puede ser manipulado durante su proceso de razonamiento. Si un agente con ese comportamiento recibe autorización para mover activos digitales, el problema deja de concentrarse únicamente en la protección de la clave privada.
La evolución de los agentes de IA apunta precisamente hacia ese escenario. Empresas del sector desarrollan sistemas capaces de administrar wallets, intercambiar activos, interactuar con protocolos de finanzas descentralizadas (DeFi) y ejecutar pagos de forma autónoma a partir de instrucciones generales del usuario. La decisión de mover fondos comienza a depender también del criterio del agente.
El objetivo de las IA deja de ser la clave privada de las wallets
El modelo tradicional de seguridad de las criptomonedas parte de una premisa sencilla: quien controla la clave privada controla los fondos. En consecuencia, las principales defensas se han concentrado en impedir que esa credencial sea robada mediante malware, phishing o vulnerabilidades de hardware. Ese modelo fue diseñado para proteger personas, no inteligencias artificiales con autonomía operativa.
La incorporación de agentes de IA introduce una nueva capa entre el usuario y la firma de una transacción. Antes de autorizar una operación, el agente interpreta lenguaje natural, consulta información, analiza documentos y decide qué acción ejecutar. Cada paso previo a la firma puede convertirse en un nuevo punto de ataque, incluso cuando las credenciales permanecen protegidas.
Según el proyecto sobre riesgos para aplicaciones LLM de OWASP, la inyección indirecta de instrucciones figura entre las principales amenazas para aplicaciones construidas sobre modelos de lenguaje. Este tipo de ataque consiste en ocultar órdenes dentro de páginas web, documentos, imágenes u otros contenidos que posteriormente serán procesados por un agente. El atacante busca influir en la interpretación del modelo, no romper su criptografía.
En un entorno financiero, ese comportamiento podría traducirse en modificar la dirección de destino de una transferencia, aprobar permisos excesivos sobre un contrato inteligente o firmar una operación distinta de la esperada. La clave privada puede seguir protegida mientras el dinero termina en otro destino, porque la decisión fue manipulada antes de la firma.
Ledger propone separar la IA de la firma en la wallet
Uno de los actores que ha comenzado a abordar este escenario es Ledger, fabricante de wallets de hardware para criptomonedas. En distintas publicaciones sobre modelo de seguridad para agentes, la empresa sostiene que los sistemas de IA no deberían tener acceso directo a las claves privadas ni capacidad para firmar operaciones sin mecanismos adicionales de control. La inteligencia artificial no debería convertirse en el custodio directo de los fondos.
Según Ledger, un agente puede preparar una operación, analizar el contexto o sugerir una estrategia, pero la autorización final debería permanecer aislada dentro de un entorno seguro, protegido por políticas previamente definidas o por la confirmación del usuario. Separar el razonamiento del proceso de firma reduce el impacto de un engaño, incluso si el agente interpreta información maliciosa.
La postura de Ledger resulta relevante porque la empresa ha dedicado años al desarrollo de hardware diseñado para mantener las claves privadas fuera del alcance de dispositivos conectados a internet. En su gestión de claves criptográficas, la compañía sostiene que ese principio continúa siendo válido en la era de los agentes autónomos, aunque ahora debe extenderse a la forma en que la inteligencia artificial interactúa con dichos dispositivos. La seguridad comienza mucho antes de que una transacción sea firmada.
Un modelo de amenazas que todavía se está construyendo
El caso de Grok no demuestra que los agentes de IA sean inseguros por naturaleza. Tampoco implica que cualquier sistema autónomo pueda ser manipulado con facilidad. Lo que sí evidencia es que los modelos de lenguaje interpretan información de maneras que pueden ser aprovechadas por un atacante si no existen mecanismos adecuados para validar el contexto que procesan. La nueva superficie de ataque está en la capacidad del agente para razonar.
Mientras tanto, empresas del ecosistema de las criptomonedas y del sector tecnológico continúan desarrollando asistentes capaces de operar wallets, automatizar estrategias de inversión e interactuar directamente con protocolos descentralizados. Esa tendencia está impulsando el desarrollo de nuevos modelos de seguridad para sistemas que no solo procesan información, sino que también toman decisiones económicas. La industria todavía construye las reglas para proteger agentes con autonomía financiera.
El experimento con Grok funciona como una demostración temprana de esa transición. El nuevo perímetro de ataque ya no termina en la clave privada, sino que también incluye todo aquello que un agente de IA puede leer, interpretar y convertir en una acción antes de solicitar una firma. A medida que estos sistemas asuman más responsabilidades dentro del ecosistema de las criptomonedas, esa capa intermedia pasará a ocupar un lugar central en la protección de los activos digitales.
