Qué pasó
- OpenAI anunció ChatGPT Work el 9 de julio de 2026 y viene iterando el producto desde entonces. El desarrollador Simon Willison publicó a fines de agosto una revisión de qué hace realmente.
- Willison distingue dos cosas distintas bajo el mismo nombre: una que corre en la nube, accesible desde chatgpt.com y las aplicaciones móviles, y otra que corre en el computador a través de la aplicación de escritorio.
- La versión en la nube puede leer datos privados conectados, procesar páginas web no confiables, ejecutar código con salida a internet, controlar un navegador y ejecutar acciones hacia afuera.
- Esa combinación cierra los tres lados de lo que Willison llama la tríada letal: acceso a datos privados, exposición a contenido no confiable y una vía para sacar información hacia un atacante.
Por qué importa
- La inyección de prompt no es un error que se parche. Nace de que el modelo no distingue una instrucción de su usuario de una instrucción escrita dentro del documento que le pidieron leer. Con los tres lados cerrados, una página cualquiera puede dictar acciones.
- Para un equipo que conecta el asistente al correo y a la carpeta compartida, el riesgo no está en lo que el equipo escribe, sino en lo que el asistente lee por encargo. Un archivo enviado por un tercero es contenido no confiable por definición, igual que un documento que se sube a un chat para que lo resuma.
- La mitigación conocida es de arquitectura, no de configuración: separar lo que accede a datos privados de lo que procesa material externo. Ninguna casilla en los ajustes hace eso.
El dato
3 condiciones. Datos privados, contenido no confiable y capacidad de comunicar hacia afuera. El riesgo aparece cuando se juntan las tres. Con dos, el ataque no completa el circuito.
Contexto
Willison acuñó el término inyección de prompt en 2022 y describió la tríada letal en junio de 2025. Desde entonces documentó casos en ChatGPT, Google Bard, Amazon Q, GitHub Copilot Chat, Microsoft Copilot, Slack, Le Chat de Mistral y la aplicación de Claude para iOS, entre otros. El problema no pertenece a una marca; pertenece a la forma en que están construidos estos sistemas.
Qué viene
- OpenAI no publica los prompts de sistema de ChatGPT Work. La documentación pública sobre su comportamiento la producen investigadores independientes.
- No existe una defensa reconocida como completa. Los enfoques vigentes limitan capacidades en vez de detectar ataques.
- Sin anuncios de OpenAI sobre cambios en el alcance de permisos del producto.
Cierre
La misma semana en que se documentó esta arquitectura, Anthropic avisó que un atacante entraba a cuentas de Claude con cookies robadas. Dos rutas distintas hacia el mismo destino: el permiso que ya estaba concedido.
