Inicio / Seguridad y datos

Lo que un agente puede filtrar sin que se lo pidas

Una inyección de prompt indirecta esconde una instrucción en un contenido que el agente lee en vez de en lo que tú escribiste, un archivo generado no tiene un autor que se responsabilice de su contenido, y una regla de configuración que apunta a una ruta de archivo se acepta sin error a la vez que no bloquea nada para la herramienta que ejecuta comandos directos, mientras que una regla que apunta al nombre de esa herramienta sí bloquea de verdad.

Una instrucción oculta en un contenido que Claude lee, una página web recuperada por una herramienta, un archivo adjunto, una línea de comentario en un repositorio, puede hacerle ejecutar algo distinto de lo que tú escribiste. Es la misma inyección de prompt que la lección anterior describe a propósito de una skill de terceros, pero en su forma indirecta: la fuente ya no es un paquete instalado, es cualquier contenido recuperado durante la conversación.

Las protecciones documentadas, y su límite anunciado

La documentación oficial de Claude Code nombra varias protecciones activas contra este riesgo: un sistema de permisos, un análisis contextual, el aislamiento de la ventana de contexto para la herramienta que recupera una página web, y una verificación de confianza en el primer lanzamiento de un repositorio. La misma página plantea ella misma su límite: estas protecciones reducen significativamente el riesgo, sin que ningún sistema quede completamente inmunizado contra todo ataque.

Una regla que se lee como una protección y no lo es

Un parámetro del archivo de configuración personal permite denegar el acceso a rutas precisas para las herramientas que leen o escriben un archivo. Una confusión documentada públicamente muestra por qué este parámetro por sí solo no basta: la herramienta que ejecuta comandos directos solo verifica, en las reglas de permiso, la presencia del nombre de esa herramienta, no las rutas realmente contenidas en el comando escrito.

{
  "deniedPaths": ["/Users/exemple/documents-prives/**"]
}

Este archivo se guarda sin error de sintaxis. Bloquea efectivamente una lectura o una escritura de archivo que pase por las herramientas dedicadas a eso. No bloquea nada en absoluto cuando el mismo dato se alcanza mediante un comando directo, porque la regla apunta a una ruta y no al nombre de la herramienta. Esta constatación, hecha pública, sigue clasificada como un límite de diseño más que como una falla por corregir.

Lo que un archivo generado nunca firma

Un archivo producido automáticamente por una herramienta, un resumen, un grafo de conocimiento, un informe ensamblado a partir de varias fuentes, no tiene un autor en el sentido de una persona que se responsabilice de su contenido. Nadie se siente responsable de verificar lo que republica, incluida una frase sensible que una herramienta recorrió sin distinguir su nivel de confidencialidad del resto. Este riesgo no es propio de un producto concreto: es el defecto general de toda herramienta que ensambla contenido sin indicar su procedencia línea por línea.

Regla: deniedPaths contiene la carpeta privada.
Comando escrito: cat documents-prives/contrat.txt
Resultado: el contenido del archivo se muestra.

Regla: se deniega el nombre de la herramienta que
ejecuta comandos.
Comando escrito: cat documents-prives/contrat.txt
Resultado: comando denegado, ninguna salida.