Inteligencia artificial y manejo de archivos
Un PDF puede ser información para analizar, pero no debe convertirse en una orden para tu asistente de IA. Esa diferencia importa cuando el sistema revisa propuestas, expedientes o documentos de proveedores.
Resumir documentos con inteligencia artificial puede ahorrar tiempo. El problema aparece si el contenido de un archivo logra cambiar la tarea del asistente: en lugar de comparar condiciones o extraer datos, el modelo puede seguir instrucciones ajenas al proceso de la empresa. Este riesgo se conoce como inyección indirecta de instrucciones, o indirect prompt injection.
OWASP lo incluye en su ficha LLM01:2025. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) explica, en un análisis publicado el 8 de diciembre de 2025, por qué no basta con tratarlo como una inyección SQL tradicional. Retomamos estas referencias como un tema vigente para pymes en 2026, no como una alerta nueva ni como evidencia de un ataque específico contra Tiser o sus clientes.
El documento es una fuente, no una autoridad
La inyección indirecta puede llegar a través de páginas web o archivos que la IA consulta. No requiere que quien preparó el contenido tenga acceso directo a la cuenta del asistente. OWASP también advierte que las instrucciones problemáticas pueden estar presentes de formas que una persona no perciba fácilmente, pero que el modelo sí procese.
Ejemplo hipotético: compras pide comparar tres propuestas. Uno de los documentos contiene indicaciones destinadas a influir en la recomendación del asistente, no condiciones comerciales para el comprador. Si el sistema las sigue, el resumen puede favorecer esa propuesta u omitir información relevante. La recomendación de la IA no sustituye la aprobación de compras.
Eso no significa que todos los PDF sean peligrosos, ni que abrir uno ejecute automáticamente acciones en otros sistemas. El impacto depende de cómo se procese el archivo y, especialmente, de las herramientas, datos y permisos disponibles para la aplicación de IA.
Leer, recomendar y ejecutar son tres capacidades distintas
Leer
Extraer información de documentos seleccionados, sin acceso innecesario a otros expedientes.
Recomendar
Preparar una comparación que una persona pueda contrastar con las fuentes originales.
Ejecutar
Enviar mensajes, cambiar registros o compartir archivos: acciones que necesitan controles adicionales.
Un error en un resumen ya puede afectar una decisión. Si el mismo asistente tiene autorización para enviar correos, modificar datos o consultar carpetas confidenciales, las consecuencias pueden ser mayores. NCSC recomienda reducir el riesgo y su impacto mediante el diseño del sistema, en especial con controles deterministas: reglas aplicadas por software fuera del modelo.
Un flujo más seguro para revisar documentos con IA
- Delimita la entrada: utiliza una carpeta o expediente específico. No conectes todo el almacenamiento de la empresa cuando solo necesitas comparar tres archivos.
- Empieza en modo de lectura: el primer piloto puede producir un borrador sin permisos para enviar, borrar, publicar o actualizar sistemas administrativos.
- Solicita referencias comprobables: pide nombre del archivo, página o apartado para cada dato importante. Contrasta esas referencias con el original; una cita generada también puede ser incorrecta.
- Valida datos con reglas externas: comprueba formatos, campos obligatorios y operaciones aritméticas mediante código o controles del sistema. Que un resultado tenga el formato correcto no garantiza que sea verdadero.
- Separa la autorización: una persona responsable revisa el contenido y aprueba cualquier acción sensible. La pantalla de aprobación debe mostrar destinatario, archivo, cambio y alcance concretos.
- Prueba antes de ampliar: utiliza documentos ficticios y un entorno sin datos sensibles para evaluar qué ocurre cuando una fuente intenta desviar la tarea. Repite las pruebas al cambiar modelos, conectores o permisos.
Para una comparación de propuestas, por ejemplo, el resultado útil puede ser una tabla de precios, plazos y exclusiones, con referencias a cada documento. La aprobación y cualquier registro en el sistema administrativo permanecen en el flujo habitual de la empresa. Es una forma de obtener valor sin entregar al asistente toda la operación desde el primer día.
Lo que no resuelve el problema por sí solo
Agregar una frase como “ignora instrucciones maliciosas” puede formar parte de las defensas, pero no constituye una barrera de seguridad suficiente. NCSC advierte también sobre filtros basados únicamente en una lista de frases prohibidas: un mismo intento puede expresarse de muchas maneras.
OWASP señala que técnicas como RAG —consultar documentos para complementar una respuesta— y el ajuste fino de modelos no eliminan por completo esta vulnerabilidad. Del mismo modo, alojar el sistema en una nube privada no evita que interprete mal un documento. La ubicación de los datos y la separación de permisos resuelven problemas distintos.
Por eso conviene preguntar al proveedor qué puede hacer la aplicación aunque el modelo se equivoque: a qué carpetas accede, qué destinos puede contactar, qué operaciones están bloqueadas por código y cómo se revoca un conector. La promesa de un “prompt invulnerable” no reemplaza esas respuestas.
Qué revisar si la respuesta se sale de la tarea
Si el asistente intenta compartir información, cambiar de objetivo o ejecutar algo que no solicitaste, detén ese flujo y no apruebes la acción. Conserva, por un canal restringido, el archivo implicado, la hora, la consulta y la respuesta para que soporte evalúe el caso. No publiques documentos de clientes ni conversaciones completas en chats abiertos.
Los registros de uso pueden ayudar a investigar, pero también contienen información sensible. Define responsables, acceso y retención; no conviertas la bitácora en otra copia indiscriminada del archivo corporativo. Si existe una exposición confirmada, la respuesta debe ajustarse a su alcance.
Para pymes de CDMX, Querétaro y Celaya Guanajuato, la decisión práctica no es renunciar a la IA: es elegir una tarea acotada, medir si mejora el trabajo y mantener las autorizaciones importantes fuera de una respuesta generada.
Cómo puede ayudar Tiser: podemos apoyar la revisión de permisos, carpetas compartidas y flujos documentales para delimitar un piloto de IA, con controles de acceso y una ruta de soporte.
Conoce nuestros servicios de infraestructura y nube, solicita una revisión de tu proceso documental o reporta un comportamiento inesperado en Soporte Tiser.
Fuentes consultadas
- OWASP Gen AI Security Project: LLM01:2025 Prompt Injection. Tipos de inyección, impacto y medidas de mitigación.
- NCSC: Prompt injection is not SQL injection (it may be worse), 8 de diciembre de 2025. Límites de los filtros y controles de diseño. Referencias consultadas el 16 de octubre de 2026.
- Fotografía: paperworks, de erix!, Flickr, licencia CC BY 2.0. Recorte horizontal realizado por Tiser. Imagen ilustrativa de expedientes físicos como contexto del trabajo documental; no representa un ataque, un sistema de IA ni archivos de clientes de Tiser.