Le dije a un atacante de IA que ganó. Perdió.
Cada vez que un LLM dice "No puedo ayudarte con eso", le está regalando un gradiente de optimización al atacante. No es intuición. Es matemática: ASR = 1 - (1 - β_D · (1 - β_A))^N → 1 cuando N → ∞ Cada refusa
Cada vez que un LLM dice "No puedo ayudarte con eso", le está regalando un gradiente de optimización al atacante.
No es intuición. Es matemática:
ASR = 1 - (1 - β_D · (1 - β_A))^N → 1 cuando N → ∞
Cada refusal predecible es una pista. El atacante ajusta. Itera. Y eventualmente gana.
¿Y si en vez de decir "no", el sistema dice "sí" — pero con trampa?
Presento misdirection-proxy v0.5.0
Un gateway de seguridad que reemplaza los bloqueos predecibles por desinformación controlada. Cuando detecta un ataque, no lo bloquea: lo engaña. Genera respuestas que parecen exitosas al juez automatizado del atacante pero que son operativamente nulas.
El atacante cree que va ganando. En realidad, su optimizador está colapsando.
Cómo funciona
4 capas de defensa en una sola petición HTTP:
1. Context Filter — Analiza datos externos (RAG, herramientas, documentos) buscando inyecciones indirectas ocultas.
2. Intention Detector — Clasifica el prompt en 5 categorías: jailbreak, exfiltración, ejecución de código, prompt injection, ingeniería social.
3. Adaptive Controller — Si el atacante persiste (mismo X-Session-ID), escala la intensidad de la defensa logarítmicamente: γ_A(t) = min(0.71 + ln(1 + 0.3·ΣM_i), 0.99)
4. CMPE Engine — Genera la respuesta de engaño: preámbulo positivo + contenido reshuffleado + pregunta de seguimiento. Parece exitosa. Es inofensiva.
El colapso del atacante
| Ciclo | γ_A | PPV del atacante | Estado |
|---|---|---|---|
| 1 | 0.71 | 0.07 | Recibe basura, ajusta |
| 2 | 0.97 | 0.01 | Gradiente corrupto |
| 3+ | 0.99 | ~0.00 | Colapso |
Tras 3 ciclos, el atacante converge a una región muerta del espacio latente. No puede progresar. Cree que va ganando porque recibe respuestas "exitosas". Pero cada respuesta es un falso positivo inducido.
Pruébalo ahora
git clone https://github.com/amurlaniakea/misdirection-proxy.git
cd misdirection-proxy
docker compose up -d
docker compose --profile bench run --rm bench
El benchmark ejecuta 30 ataques (directos, indirectos, RAG injection) y genera un reporte JSON con PPV, ASR, γ_A(t) y latencia.
Stack
- Motor CMPE — 3 pasos de desinformación controlada
- Detector — 5 categorías de amenazas
- Gateway HTTP — FastAPI, compatible con OpenAI API
- Controlador Adaptativo — Escalado logarítmico de γ_A
- Context Filter — Inyecciones indirectas en RAG/tools
- Benchmark — Simulador adversarial dual-mode
147 tests pasando.
Links
- Repo: https://github.com/amurlaniakea/misdirection-proxy
- Paper: https://arxiv.org/abs/2606.20470
- Licencia: AGPL-3.0
¿Defensa por engaño en producción? Leo opiniones.
Originally published by Dev.to Security. Aggregated on AIWithGhost for educational purposes — full credit and traffic to the original publisher.