«Seguro por defecto» era un espejismo: habíamos probado el ataque con una sola frase
Un modelo que teníamos como «resiste las inyecciones sin ayuda» cayó 5 de 5 al repetir la prueba. Otro, en producción, cayó el 60 % con otra redacción del ataque.
Cómo empezó
Teníamos un modelo marcado como el único que resistía una inyección de prompt sin necesitar un prompt defensivo. Al volver a probarlo con la misma configuración: 0 de 5. Dos herramientas de prueba distintas coincidieron.
Lo grave
Si eso fallaba, había que revisar la otra creencia: que el modelo que usábamos en producción también resistía solo. Con otra redacción del mismo tipo de ataque:
| DeepSeek, sin prompt defensivo | resiste |
|---|---|
| temperatura 0 (5 intentos) | 2/5 |
| temperatura 0,6 (5 intentos) | 1/5 |
| total | 6/15 |
El banco de pruebas habitual decía «resiste» 5 de 5. La diferencia no era el modelo: era la frase del ataque.
Qué significa para ti
- Un resultado de seguridad medido con una sola redacción del ataque no demuestra nada.
- Si tu agente lee contenido de terceros, ponle un prompt defensivo aunque la ficha del modelo diga que no hace falta.
- Y revisa los resultados de seguridad leyendo las respuestas, no solo la nota (P-055).
Medido en nuestras máquinas. Dos ASUS Ascent GX10 (NVIDIA GB10, 128 GB de memoria unificada). En tu equipo las cifras serán otras: lo que se traslada es el método y la lección.