En octubre de 2025, Anthropic publicó una investigación conjunta con el UK AI Security Institute y el Alan Turing Institute que puso a prueba una pregunta directa: ¿cuántos archivos maliciosos bastan para plantar un comportamiento no deseado dentro de un modelo de IA, sin importar su tamaño? La respuesta fue 250 documentos. No una fracción de los datos de entrenamiento: un número fijo, el mismo para un modelo pequeño y para uno veinte veces mayor.
Un mes antes, investigadores de universidades estadounidenses habían medido el otro lado del mismo problema, analizando casi 200 mil currículums reales enviados a empresas entre 2019 y 2025: cerca del 1% contenía instrucciones ocultas, invisibles al ojo humano, escritas para convencer al sistema de selección por IA de aprobar ese currículum. La proporción se multiplicó por siete solo entre julio de 2024 y noviembre de 2025.
Los dos estudios apuntan al mismo punto ciego: la empresa no necesita entrenar un modelo desde cero para verse afectada. Basta con que un archivo común —un currículum, una propuesta comercial, una factura, una planilla enviada por alguien externo— entre en el acervo que la IA usa como fuente de verdad. Para quien decide invertir en IA corporativa, la pregunta deja de ser "¿la IA tiene razón?" y pasa a ser "¿quién decidió que este archivo podía convertirse en conocimiento?".
Pocos Archivos Bastan Para Torcer La Verdad
Para dimensionar el problema, conviene separar dos momentos. El estudio de Anthropic apunta al entrenamiento del propio modelo de IA, un escenario poco frecuente para la empresa común, que casi nunca entrena su propia IA desde cero. El caso que importa para el uso diario de la IA es otro: el de un sistema que responde consultando el acervo de documentos de la propia empresa.
En ese escenario, un estudio académico aceptado para su presentación en el USENIX Security Symposium de 2025 probó exactamente esto: cuántos textos maliciosos bastan para manipular la respuesta de un sistema que consulta un acervo de documentos, sin acceso al modelo ni a la infraestructura de la empresa —solo la capacidad de colocar un archivo donde la IA vaya a buscar después. Cinco textos bastaron para manipular la respuesta en el 90% de los intentos.
Ese segundo escenario es el que cualquier empresa que usa IA para responder con base en su propio conocimiento ya enfrenta, aunque no lo perciba. Un currículum enviado por un candidato, una propuesta comercial de un proveedor, una factura, una planilla recibida por correo: todos son archivos que llegan desde afuera y, en muchas empresas, van directo a una carpeta o a un sistema que la IA ya lee.
La organización internacional que reúne a especialistas en seguridad de aplicaciones de IA, la OWASP, convirtió este riesgo en categoría propia en la lista más reciente que publica: "envenenamiento de datos y de modelo" está entre los diez principales, junto a la instrucción oculta dentro de un documento común —el mismo mecanismo que hace que un currículum cargue una orden que ningún reclutador escribió.
Para las empresas de América Latina, el escenario es el mismo, solo que menos discutido en público. RH recibe currículums, finanzas recibe facturas y comprobantes de pago, compras recibe propuestas de proveedores —y la presión para que la IA "ya lea todo eso y lo resuma" crece más rápido que la pregunta sobre quién revisa lo que entra ahí.
Ningún Antivirus Detecta Esta Amenaza
El primer instinto al escuchar esto es pensar en seguridad tradicional: un antivirus, un filtro de adjuntos, una lista de palabras prohibidas. Ninguno de los tres resuelve el problema, por un motivo simple: el archivo no lleva un virus. Lleva texto. Un antivirus busca la firma de un programa malicioso; la instrucción oculta en un currículum o en una planilla es apenas una frase, igual a cualquier otra del documento.
Filtrar por palabra clave tampoco funciona. La investigación citada en la apertura mostró que las instrucciones ocultas en currículums evolucionan más rápido de lo que cualquier lista puede prever —y la mayoría ni siquiera aparece como frase legible: usa una fuente diminuta del color del fondo, o se escribe fuera del área visible de la página, para que una persona nunca la vea, pero el sistema que lee el texto del archivo la capture entera.
Revisar cada archivo a mano tampoco escala. Una empresa mediana recibe cientos de currículums, facturas y propuestas al mes; ningún equipo puede leer línea por línea antes de dejar que la IA los procese. Y aquí está el punto central: la mayoría de las empresas no trata el conocimiento de la IA como una caja fuerte, lo trata como una carpeta compartida. Cualquier archivo que llega se convierte, al minuto siguiente, en algo que la IA puede citar como si fuera información oficial de la empresa.
Lo Que Tiene Que Existir En La Práctica
Un entorno de IA preparado para este riesgo se apoya en mecanismos verificables, no en la promesa de que "nuestro filtro lo detecta".
Una puerta entre "llegó" y "se volvió conocimiento". Todo archivo recibido desde afuera —currículum, propuesta, factura, planilla de un socio— entra en un área de espera. Solo empieza a alimentar las respuestas de la IA después de un paso deliberado de aceptación, nunca automáticamente en el momento en que llega.
Revisión y aprobación en dos etapas para documentos críticos. Quien recibe el archivo no es, por defecto, quien autoriza que se convierta en conocimiento de la IA —esa separación es configurable y aplica sobre todo a los documentos que van a orientar una decisión o una política interna, con segregación de funciones y excepciones auditadas.
Documento con dueño y versión vigente. Cada pieza de conocimiento aprobada tiene una persona responsable y una fecha; no queda suelta como un archivo cualquiera en una carpeta común.
Acceso según el rol de cada persona. No todo el conocimiento aprobado necesita estar visible para todos; un documento de un proveedor específico, por ejemplo, queda restringido a quien trabaja con ese proveedor.
Registro de auditoría de quién aprobó qué. Si una respuesta de la IA parece extraña, se puede reconstruir el origen —qué archivo, quién lo aprobó, cuándo— en lugar de una investigación que empieza de cero.
Así fue diseñada la plataforma Skyller: entrada con identidad corporativa, revisión en dos etapas para documentos críticos y registro de auditoría detrás de cada pieza de conocimiento aprobada.
De La Sospecha General A La Aprobación Rápida
Cuando cada archivo externo pasa por una puerta antes de convertirse en conocimiento, el efecto no es solo menos riesgo: es más velocidad para quien hace ese trabajo. Hoy, la alternativa a un control así suele ser un extremo u otro: o el equipo bloquea todo lo que viene de afuera hasta que alguien "le eche un ojo" y el cuello de botella traba a RH, finanzas y compras, o nadie revisa nada y todo archivo se vuelve conocimiento automáticamente.
Con un flujo de aprobación claro, la propuesta de un proveedor recurrente, por ejemplo, puede aprobarse una vez y quedar disponible para quien la necesite cada vez que surja una duda sobre ese contrato, sin que cada persona tenga que reabrir el archivo original. El trabajo de revisión no se repite: se vuelve conocimiento reutilizable, con el crédito de quien lo aprobó.
También hay una ganancia que solo aparece después de un incidente, cuando ya es tarde para prevenirlo pero todavía se puede explicar lo que pasó: si una respuesta de la IA cita información incorrecta o manipulada, un registro de auditoría muestra en minutos de dónde vino, en lugar de una investigación que se extiende semanas tratando de reconstruir quién envió qué.
Una Guía Para Empezar
Antes de tratar esto como un problema hipotético, vale la pena una guía simple para probar el propio entorno de IA:
- Descubra quién puede alimentar el conocimiento de la IA hoy. Si la respuesta es "cualquiera que tenga acceso a la carpeta", ese es el primer punto por cerrar.
- Separe los documentos que solo informan de los que deciden. Un manual general tolera un error pasajero; una política de crédito o un contrato vigente merecen revisión en dos etapas antes de convertirse en conocimiento de la IA.
- Pregunte a quién avisarían si mañana llegara un archivo malicioso. Si la respuesta es "a nadie, a menos que alguien desconfíe de una respuesta de la IA", falta un registro de auditoría.
- Pruebe con un archivo real recibido esta semana. Un currículum, una propuesta, una factura: vea qué pasa con él hoy, desde que llega hasta que queda —o no— disponible para que la IA responda con base en él.
