Los ataques de saturación de ventana amplían la superficie de riesgo en agentes LLM

Los últimos trabajos académicos confirman que la vulnerabilidad no depende de un jailbreak sofisticado, sino del propio diseño de los transformadores. La atención en los modelos no es uniforme: el rendimiento máximo se alcanza al inicio y al final del contexto, mientras que la zona central experimenta una caída abrupta. Liu et al. (2023) describieron este "dead zone" con una curva en forma de U; arXiv:2605.12922 mostró que, en una tarea de retención de 20 hechos, la precisión cayó del 100 % al 11 % cuando los hechos se ubicaron en el medio del contexto.

Este comportamiento, inherente a la atención causal, permite a un atacante desplazar el prompt del sistema a la zona muerta simplemente inundando la ventana con texto sin ninguna instrucción maliciosa. Se conocen tres variantes operativas:

• Relleno (padding): bloques de texto benigno intercalados entre el prompt del sistema y la instrucción objetivo reducen el peso de atención del prompt. El framework DeepTeam usa al menos 4 000 caracteres como límite conservador.
• Inundación de relevancia: contenido legítimo pero extenso ocupa la mayor parte del contexto; la instrucción real se coloca al final, aprovechando el efecto de recencia.
• Inundación de resultados de herramientas: en agentes de múltiples turnos, la salida verbosa de herramientas legítimas acumula tokens y empuja el prompt del sistema fuera de la zona de atención.

Un documento de 50 000 tokens proveniente de una fuente no confiable basta para ejecutar el ataque sin necesidad de palabras adversas. La amenaza se magnifica en pipelines agenticos que incorporan memoria persistente, recuperación de información y orquestación multi‑agente.

Superficies de ataque específicas

• ToolFlood (arXiv:2603.13950): el atacante diseña descripciones de herramientas con embeddings similares a los legítimos, logrando que el sistema de recuperación priorice las falsas. El benchmark MetaTool reportó una dominancia del 97,2 % en top‑k y tasas de éxito entre 94,6 % y 99,6 %.
• MINJA (arXiv:2601.05504): contenido malicioso se introduce mediante consultas a la memoria, alcanzando una tasa de éxito de inyección del 95 % y una tasa de ataque del 70 %.
• LogInject (arXiv:2607.14493): una entrada de registro de PowerShell manipulada hizo que una plataforma XDR describiera un robo de credenciales como "mantenimiento programado", y los analistas confiaron en el resumen generado por la IA.

Medición y mitigación

Un estudio (arXiv:2507.06850) probó 18 modelos frente a tres clases de ataques y encontró que el 100 % sucumbió a la explotación de confianza entre agentes, mientras que el 94,4 % cayó ante inyección directa de prompts. Otro trabajo (arXiv:2508.07479) evidenció que el sesgo posicional empeora al acercarse al límite de la ventana, sin existir un número de tokens universal que garantice la seguridad del prompt.

Herramientas como MAGO Intel ya monitorizan patrones de consumo de contexto y detectan agentes que procesan contenido externo sin límites rígidos, señalando configuraciones propensas a ataques de saturación. La clasificación OWASP LLM10:2025 incluye la inundación de ventana como vulnerabilidad que requiere controles arquitectónicos, no simplemente ajustes de coste.

En definitiva, la expansión de ventanas de contexto debe acompañarse de políticas de presupuesto de tokens y de aislamiento entre agentes, pues confiar únicamente en límites estáticos resulta insuficiente frente a ataques que explotan la arquitectura de atención.