Inyección de prompts en estado salvaje

Un rastreador de técnicas de inyección de prompts reportadas públicamente de aproximadamente los últimos dos años, mantenido por Rachel James (cybershujin).

Cada técnica se desglosa en los tres elementos de una inyección de prompts:

Método de entrega — cómo las instrucciones inyectadas llegan al modelo (el resultado de una llamada a una herramienta, un sitio web externo, una conexión MCP, un documento, un correo electrónico, una imagen, etc.).
Codificación — la ofuscación aplicada al payload, si la hay (Base64, leetspeak, caracteres de etiqueta Unicode invisibles, homoglifos, …). En blanco cuando el payload es texto plano o el informe no lo indica.
Comportamiento de propagación — si la inyección está diseñada para propagarse o persistir (entregada a cualquiera que se conecte a un servidor MCP envenenado, persistida en la memoria a largo plazo/de proyecto de un agente, arrastrada a lo largo de una cadena de llamadas a herramientas, forzada a emitir un correo electrónico que transporta más instrucciones, …). En blanco cuando no hay propagación.

Cada entrada también registra los modelos contra los que se confirmó que funciona (si los hay), un enlace a la fuente que lo reporta y — cuando se conoce — la fuente del ataque (el investigador, el equipo rojo o el actor en estado salvaje del que se originó).

Panel en vivo: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

Alcance y metodología

Dentro del alcance: técnicas para inyectar instrucciones adversarias en un LLM o en un agente impulsado por LLM que hayan sido — por investigadores de seguridad, equipos rojos, proveedores, o según lo observado en actividad en estado salvaje. Se incluyen tanto la inyección de prompts directa como la indirecta (transportada por datos).

Más Populares

Prompt-Injection-in-the-Wild

Cómo se construyen los datos

Técnicas

Apéndice A — Métodos de entrega (vocabulario controlado)

Apéndice B — Codificaciones (vocabulario controlado)

Apéndice C — Comportamientos de propagación (vocabulario controlado)

Apéndice D — Cruce con MITRE ATLAS