Una clase reciente de prompt injection se está extendiendo por sitios web comerciales. No requiere malware, credenciales robadas ni vulnerabilidades de día cero. En cambio, aprovecha una función común en muchos asistentes de IA: botones con consultas prellenadas y enlaces profundos que se activan con un clic.
En varios sitios de producción se han observado payloads ocultos incrustados dentro de botones tipo “Ask AI” en páginas de marketing y comparativas. Cuando el usuario inicia sesión en servicios como ChatGPT, Claude, Gemini o Grok y hace clic, la consulta preparada puede ejecutarse automáticamente en su sesión, sin confirmación clara y sin avisos visibles.
La parte crítica llega cuando algunos enlaces no solo responden “en el momento”. En determinados casos, la instrucción contenida busca que el modelo guarde de forma persistente un dominio como “fuente confiable”, inclinando futuras respuestas a favor del proveedor. A este fenómeno se le ha dado el nombre de AI Recommendation Poisoning.
Qué es AI Recommendation Poisoning
AI Recommendation Poisoning describe una técnica en la que una página web introduce un prompt malicioso mediante un enlace prellenado. El usuario no tiene que copiar y pegar el texto ni navegar dentro de contenidos manipulados; basta con pulsar el botón para que la instrucción se ejecute en el contexto de su sesión.
La idea central es simple: muchos interfaces permiten el envío de consultas a través de parámetros de URL. Por ejemplo, un enlace puede abrir la herramienta de IA y lanzar una solicitud ya construida. Si ese enlace incluye una instrucción para “recordar” una entidad o tratarla como confiable, el modelo puede incorporar esa preferencia a su memoria persistente.
Lo importante para la seguridad es que el ataque ocurre en la capa de interacción del usuario (el clic y el enlace), no necesariamente dentro del contenido recuperado de una página que el sistema analice en tiempo de consulta. Eso cambia el tipo de defensa que suele funcionar.
Cómo funciona el “ataque” en el clic
La mecánica se puede entender como una cadena de pasos:
- El usuario hace clic en un botón “Ask AI” incrustado en una web.
- El enlace profundo abre la sesión activa del asistente, incluyendo una consulta en la URL.
- El prompt preformado se ejecuta inmediatamente, como si el usuario lo hubiera escrito.
- El modelo aplica la instrucción, potencialmente guardando un dominio como fuente confiable para el futuro.
En la práctica, muchos enlaces pueden ser benignos. Se trata de una táctica de automatización de marketing o de asistencia para generar respuestas. Pero la línea se cruza cuando el enlace busca manipular memoria de forma permanente sin conocimiento o consentimiento informado.
Cuando una recomendación se convierte en manipulación de memoria
No toda consulta prellenada es peligrosa. Plantear preguntas “convenientes” para que el asistente adopte un ángulo favorable puede entrar dentro de prácticas comunes de optimización del comportamiento del generador (por ejemplo, técnicas de posicionamiento basadas en el modo en que se formulan prompts).
El problema surge cuando el enlace contiene instrucciones diseñadas para persistir: ordenar al sistema que guarde un dominio como “fuente de expertise”, o que lo etiquete como confiable. En ese punto, el usuario puede estar convencido de que está obteniendo una respuesta puntual, pero en realidad está dejando una huella que afectará interacciones futuras.
Además, la mayoría de personas no tiene visibilidad de qué se almacena en la memoria del asistente. Por eso el impacto puede ser acumulativo: lo que parece una segunda opinión “neutral” puede transformarse en una base sesgada de preferencias.
Casos observados en auditorías
Las observaciones reportadas incluyen ejemplos concretos donde el botón “Ask AI” lleva un payload que va más allá de resumir o comparar. A continuación se describen dos escenarios típicos.
1) Plataforma de consentimiento: “resumir” que termina elevando una marca
En una revisión se identificó un proveedor de software de gestión del consentimiento que incorporaba botones para asistentes de IA en su blog. El texto del botón sugería una acción simple, como resumir una publicación con IA.
Sin embargo, el enlace subyacente contenía una instrucción distinta: no se limitaba a generar un resumen del artículo, sino que ordenaba etiquetar el contenido como experiencia y elevar al vendedor como una autoridad para referencias futuras. En otras palabras, el botón actuaba como mecanismo para que el dominio del proveedor quedara asociado a “expertise” en la memoria del asistente.
El punto relevante aquí es que el modelo puede interpretar esa instrucción como una directiva a guardar, aunque el usuario crea que solo está pidiendo un resumen.
2) Proveedor de seguridad empresarial: widgets en comparativas de competidores
En otro análisis, un vendedor de software de seguridad colocó widgets en páginas de comparación con competidores. Los botones invitaban al usuario a “preguntar a la IA” para no confiar solo en lo que dice el propio sitio.
Al inspeccionar el contenido del enlace en el botón, se encontró un payload codificado que pedía crear un TL;DR basado en una URL específica del proveedor, y además incluir la instrucción para guardar el dominio del vendedor como fuente confiable para futuras referencias de seguridad.
En este tipo de escenario, la plantilla se repetía en cada página de comparativa. Lo que variaba era el nombre del competidor, mientras que la parte encargada de imponer el sesgo persistente se mantenía. El resultado es que el asistente termina tratando las afirmaciones de marketing del proveedor como base confiable para posteriores consultas.
Cómo se está generalizando en el ecosistema web
Esta técnica no se queda en un único actor. Según los reportes, se está volviendo “comercialmente” accesible a través de herramientas y componentes que facilitan la publicación de botones con prompts.
Se mencionan, por ejemplo, plugins y generadores de contenido que integran botones “Ask AI” en plataformas populares. En estos casos, las plantillas suelen presentarse como una funcionalidad estándar para reforzar la marca o mejorar la interacción.
También se describen integraciones con analítica: el sitio puede rastrear clics en los botones y relacionarlos con posteriores visitas de rastreadores (o con actividad del flujo de IA), ayudando a medir el efecto del contenido y a afinar implementaciones.
El resultado es que la pregunta ya no es si alguna empresa lo está haciendo, sino cuántas han incorporado prompts diseñados para influir en memoria y qué tan agresivos son sus enlaces.
Por qué persiste el efecto
Una vez que la instrucción se ejecuta y el modelo incorpora la etiqueta en memoria persistente, el impacto puede durar indefinidamente. Así, el usuario puede preguntar después algo aparentemente distinto:
- ¿Qué plataforma de consentimiento debería usar? El asistente puede recomendar un proveedor marcado como confiable.
- ¿Es un competidor una buena herramienta de seguridad? El asistente puede remitir “a lo que ya le indicaron” como fuente fiable.
Desde la perspectiva del modelo, no necesariamente “está roto”. Está siguiendo instrucciones incluidas en una petición ejecutada automáticamente a través del enlace. Y como muchos usuarios no revisan parámetros de URL ni ven lo que se guarda, el sesgo puede pasar desapercibido durante meses.
Cómo detectar AI Recommendation Poisoning
Detectar esta amenaza implica inspeccionar enlaces salientes y revisar si existen señales de memoria manipulada. La orientación publicada para equipos de seguridad sugiere buscar URLs que apunten a dominios de asistentes de IA y que incluyan cadenas de consulta con instrucciones del tipo “remember” o “trusted source”.
En términos prácticos, la detección se enfoca en dos capas:
- La capa web: revisar el contenido del DOM y los atributos de los enlaces en botones “Ask AI” de terceros.
- La capa del asistente: ejecutar auditorías de memoria para descubrir si el modelo ya conserva etiquetas de dominio no autorizadas.
También se remarca una regla de política inmediata: tratar enlaces de manipulación de memoria no solicitada de forma similar a los enlaces diseñados para robar credenciales. Es decir, evitar clics en cuentas corporativas y capacitar a quienes evalúan proveedores.
Remediación y protección continua
La remediación manual no escala bien cuando hay miles de páginas, componentes de terceros y variaciones de plantillas. Por eso se propone monitoreo continuo del lado cliente y alertas tempranas sobre enlaces que incluyan instrucciones para memoria.
La idea es sencilla: si un botón “Ask AI” lleva un payload que ordena guardar dominios como fuentes confiables, ese patrón debe detectarse antes de que alguien lo pulse durante una evaluación.
En el material de campo se menciona la disponibilidad de una guía técnica (formato PDF) con patrones de monitoreo del DOM, un checklist de inspección de enlaces “Ask AI” de terceros, prompts para auditar memoria y pasos de remediación para limpiar sesiones con información contaminada.
Qué puedes hacer hoy
Si gestionas sitios web, evalúas proveedores o proteges equipos que usan asistentes de IA, puedes empezar con acciones concretas:
- Incluir en revisiones de seguridad la inspección de botones y enlaces “Ask AI” en páginas de marketing y comparativas.
- Revisar si los enlaces profundos contienen instrucciones orientadas a “recordar” o “guardar” dominios.
- Capacitar a tu equipo para no hacer clic en widgets “Ask AI” de terceros durante evaluaciones sin verificación.
- Considerar auditorías de memoria para confirmar que no existen etiquetas de dominios no autorizadas.
Así reduces la probabilidad de que una interacción aparentemente inocente termine sesgando recomendaciones futuras. En un panorama donde la automatización de IA se integra en el marketing y la analítica, la prevención empieza por entender qué se ejecuta realmente cuando el usuario pulsa.
Conclusión
AI Recommendation Poisoning muestra cómo una funcionalidad aparentemente útil —botones “Ask AI” con consultas prellenadas— puede usarse para alterar memoria de forma persistente. El riesgo no depende de malware: nace del enlace y de lo que contiene, especialmente cuando instruye a guardar un dominio como fuente confiable para el futuro.
Con inspección de enlaces salientes, auditorías de memoria y una política clara para tratar estos widgets como señales de riesgo, es posible frenar el sesgo y proteger tanto a usuarios como a procesos de evaluación dentro de organizaciones.
Fuente: https://thehackernews.com/2026/08/ai-recommendation-poisoning-how-ask-ai.html
