Prompt injection en un PDF: el texto blanco que engaña a tu modelo

Un profesor escondió en un PDF de trabajo académico una línea de texto blanco a 1 punto dirigida no al alumno sino a un modelo: si un sistema de IA estaba resolviendo la tarea, debía añadir una marca concreta y citar una fuente determinada. La apuesta era sencilla: quien resolviera el ejercicio con un LLM copiaría ese texto en la entrega sin verlo. El truco se apoya en la distancia entre lo que se ve al abrir el documento y lo que lee la máquina: la capa de texto cruda del archivo.

El caso lo cuenta el autor de backlight-skill, una skill publicada en GitHub que hace esa comprobación antes de pasar un documento a Claude. La rutina inspecciona primero la capa de texto en busca de texto blanco o de tamaño cero, contenido tapado por una imagen, caracteres Unicode invisibles y cualquier fragmento dirigido a "una IA" en lugar de a un lector humano. Si encuentra algo, se detiene y lo cita textualmente en vez de obedecerlo.

Por qué el aula es lo de menos

Invisible en una lectura normal, ese texto sí viaja en el flujo que recibe el modelo cuando se extrae el contenido. Cualquier pipeline que ingiera PDFs —RAG sobre documentación interna, agentes que resumen contratos, asistentes que procesan informes— arrastra ese material sin que nadie lo haya revisado. No hace falta un atacante sofisticado: basta un generador de PDF y elegir el color de fuente.

El autor no presenta una investigación ni una demo pública; es una anécdota propia convertida en herramienta, y los casos que dice haber evitado son suyos. Tampoco hay un análisis sistemático de cuántos documentos reales llevan texto dirigido a modelos. Lo que sí hay es un artefacto concreto y una idea que se puede portar a cualquier ingestión de documentos: extraer el texto crudo antes de confiar en él y tratar lo invisible como entrada hostil, no como ruido.