# Agent Data Injection Attacks are Realistic Threats to AI Agents
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/agent-data-injection-attacks-are-realistic-threats-to-ai-agents
- Fuente primaria: https://arxiv.org/html/2607.05120v1
- Versión leída: v1
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Woohyuk Choi, Juhee Kim, Taehyun Kang, Jihyeon Jeong, Luyi Xing, Byoungyoung Lee
- Fecha del corte: 6 JULIO 2026.
- Área: AGENTES · CODING

## Tesis y contexto

Introduce los ataques de Agent Data Injection: en lugar de insertar instrucciones maliciosas, el atacante introduce datos falsos que parecen metadatos legítimos, identificadores, formatos de herramientas o respuestas confiables. Los autores demuestran ataques contra agentes web y de programación, incluyendo clics arbitrarios, ejecución remota de código y ataques de cadena de suministro.

- Problema: Las defensas actuales se concentran en distinguir instrucciones fiables y no fiables, pero apenas separan datos fiables de datos controlados por terceros.
- Por qué importa: Es probablemente el hallazgo de seguridad de agentes más accionable de la semana. Afecta directamente a Claude Code, Codex, Gemini CLI, extensiones de navegador y cualquier agente que consuma herramientas o documentos externos.

## Evidencia reportada

- **reported-result**: We score each response by string matching against the expected value. [localizador](https://arxiv.org/html/2607.05120#S6)
- **reported-result**: As shown in Table II , all models achieved high benign utility (81.2–84.8% on JSON and 97.8–100.0% on web DOM). [localizador](https://arxiv.org/html/2607.05120#S6)
- **reported-result**: Various probabilistic delimiters that did not match the real one still achieved substantial ASR (35.8–43.3% on JSON and 20.0–53.3% on web DOM), showing that the LLM misinterpreted inexact, parser-invalid delimiters as valid structural ones. [localizador](https://arxiv.org/html/2607.05120#S6)
- **reported-result**: As shown in Figure 9 , across all models, consistent attacks on JSON achieved significantly higher ASR (31.3–43.3%) than inconsistent attacks (11.8–20.0%). [localizador](https://arxiv.org/html/2607.05120#S6)

## Lectura y límite

- Método: La lectura de Background describe la intervención y su construcción: AI agents autonomously perform tasks on behalf of users by interacting with external environments such as file systems and web services [ 20 ] . An AI agent maintains an agent context, which contains all relevant information for a given task ( e . g ., user prompt, tool responses), and interacts with an LLM and tools. §II-A2 details the agent context. Figure 1 illustrates the workflow of an AI agent. Initially, the agent context only contains the system prompt, which includes tool descriptions and the guidelines for the agent’s behavior. When a user provides the user prompt ( 1 ), the agent appends it to the…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: Defenses for AI Agents. Various defenses have been proposed to mitigate IPI, including model-level defenses [ 9 , 10 ] , input/output guardrails [ 36 , 40 ] , and system-level isolation and data flow tracking [ 38 , 14 , 39 , 45 , 13 ] . Although these defenses share the same threat model as ADI , they are ineffective against ADI as analyzed in §V and demonstrated in §VI-B , because they focus on separating instructions from data rather than isolating…
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/html/2607.05120v1): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2607.05120): tipo abstract
- [Método · Background](https://arxiv.org/html/2607.05120#S2): tipo section
- [Evaluación · Evaluation](https://arxiv.org/html/2607.05120#S6): tipo section
- [Cierre · Discussion and Related Work](https://arxiv.org/html/2607.05120#S7): tipo section
- [HTML · fuente navegable](https://arxiv.org/abs/2607.05120v1): tipo abstract

## Próxima prueba

- ¿La propuesta mejora threat modeling frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [https://github.com/compsec-snu/adi](https://github.com/compsec-snu/adi)
- [https://https://code.claude.com](https://https//code.claude.com)
- [https://openai.com/codex](https://openai.com/codex)
- [https://cli.github.com/](https://cli.github.com/)

## Enlaces relacionados

- [VAKRA](https://luiseduardodemiguel.com/research-ia/markdown/papers/vakra)
- [The Devil Is in the Interface](https://luiseduardodemiguel.com/research-ia/markdown/papers/devil-interface)
- [SkillSentry](https://luiseduardodemiguel.com/research-ia/markdown/papers/skillsentry)