NOTAS DE CAMPO / LDM ZARAGOZA / CALATAYUD · 2026
RESEARCH IA/PAPER 01

AGENTES · CODING

Agent Data Injection Attacks are Realistic Threats to AI Agents

ImprescindibleLectura primaria completa

Introduce los ataques de Agent Data Injection: en lugar de insertar instrucciones maliciosas, el atacante introduce datos falsos que parecen metadatos legítimos, identificadores, formatos de herramientas o respuestas confiables.

AUTHORS / LABWoohyuk Choi, Juhee Kim, Taehyun Kang, Jihyeon Jeong, Luyi Xing, Byoungyoung Lee
FECHA6 JULIO 2026.
LECTURALectura primaria completa
LECTURA DE 60 SEGUNDOS

Lo esencial antes de invertir más tiempo.

HALLAZGO

Introduce los ataques de Agent Data Injection: en lugar de insertar instrucciones maliciosas, el atacante introduce datos falsos que parecen metadatos legítimos, identificadores, formatos de herramientas o respuestas confiables. Los autores demuestran ataques contra agentes web y de programación, incluyendo clics arbitrarios, ejecución remota de código y ataques de cadena de suministro.

EVIDENCIA DISPONIBLE

We score each response by string matching against the expected value.

Resultado reportado con fuente enlazada · 6 localizadores disponibles.
LÍMITE

La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.

SIGUIENTE PRUEBA

Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.

EN UNA FRASE

Introduce los ataques de Agent Data Injection: en lugar de insertar instrucciones maliciosas, el atacante introduce datos falsos que parecen metadatos legítimos, identificadores, formatos de herramientas o respuestas confiables. Los autores demuestran ataques contra agentes web y de programación, incluyendo clics arbitrarios, ejecución remota de código y ataques de cadena de suministro.

SEÑALsoftware · banca
EVIDENCIAResultado reportado con fuente enlazada
CONFIANZA EDITORIALMedia
RESULTADOS / PROCEDENCIA

Qué está reportado y qué conviene comprobar.

Hay resultado reportado con fuente enlazada.
RESULTADO REPORTADO

We score each response by string matching against the expected value.

contexto: Evaluation

RESULTADO REPORTADO

As shown in Table II , all models achieved high benign utility (81.2–84.8% on JSON and 97.8–100.0% on web DOM).

84.8% · contexto: Evaluation

RESULTADO REPORTADO

Various probabilistic delimiters that did not match the real one still achieved substantial ASR (35.8–43.3% on JSON and 20.0–53.3% on web DOM), showing that the LLM misinterpreted inexact, parser-invalid delimiters as valid structural ones.

43.3% · contexto: Evaluation

RESULTADO REPORTADO

As shown in Figure 9 , across all models, consistent attacks on JSON achieved significantly higher ASR (31.3–43.3%) than inconsistent attacks (11.8–20.0%).

43.3% · contexto: Evaluation

LECTURA DEL PAPER / SÍNTESIS EDITORIAL

Qué estudiaron y qué cambia.

La síntesis está separada de los resultados reportados y de las inferencias.

PROBLEMA / La señal entra en el radar porque Las defensas actuales se concentran en distinguir instrucciones fiables y no fiables, pero apenas separan datos fiables de datos controlados por terceros.

MÉTODO / La lectura de Background describe la intervención y su construcción: AI agents autonomously perform tasks on behalf of users by interacting with external environments such as file systems and web services [ 20 ] . An AI agent maintains an agent context, which contains all relevant information for a given task ( e . g ., user prompt, tool responses), and interacts with an LLM and tools. §II-A2 details the agent context. Figure 1 illustrates the workflow of an AI agent. Initially, the agent context only contains the system prompt, which includes tool descriptions and the guidelines for the agent’s behavior. When a user provides the user prompt ( 1 ), the agent appends it to the… [Fuente: https://arxiv.org/html/2607.05120#S2]

RESULTADO / La sección Evaluation informa: We score each response by string matching against the expected value. As shown in Table II , all models achieved high benign utility (81.2–84.8% on JSON and 97.8–100.0% on web DOM). Various probabilistic delimiters that did not match the real one still achieved substantial ASR (35.8–43.3% on JSON and 20.0–53.3% on web DOM), showing that the LLM misinterpreted inexact, parser-invalid delimiters as valid structural ones. [Fuente: https://arxiv.org/html/2607.05120#S6]

LÍMITE / El cierre de la fuente señala: Defenses for AI Agents. Various defenses have been proposed to mitigate IPI, including model-level defenses [ 9 , 10 ] , input/output guardrails [ 36 , 40 ] , and system-level isolation and data flow tracking [ 38 , 14 , 39 , 45 , 13 ] . Although these defenses share the same threat model as ADI , they are ineffective against ADI as analyzed in §V and demonstrated in §VI-B , because they focus on separating instructions from data rather than isolating… La transferencia a threat modeling requiere repetir la comparación con datos y criterios propios [Fuente: https://arxiv.org/html/2607.05120#S7].

DECISIÓN RÁPIDAProbar la propuesta en threat modeling reproduciendo primero la comparación y registrando calidad, coste, latencia y errores.
NO LO SOBREINTERPRETES

La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.

PROBLEMA
Las defensas actuales se concentran en distinguir instrucciones fiables y no fiables, pero apenas separan datos fiables de datos controlados por terceros.
MÉTODO
La lectura de Background describe la intervención y su construcción: AI agents autonomously perform tasks on behalf of users by interacting with external environments such as file systems and web services [ 20 ] . An AI agent maintains an agent context, which contains all relevant information for a given task ( e . g ., user prompt, tool responses), and interacts with an LLM and tools. §II-A2 details the agent context. Figure 1 illustrates the workflow of an AI agent. Initially, the agent context only contains the system prompt, which includes tool descriptions and the guidelines for the agent’s behavior. When a user provides the user prompt ( 1 ), the agent appends it to the…
TIPO DE EVIDENCIA
La sección Evaluation informa 4 hallazgo(s) extraído(s) desde la fuente. El resultado principal se conserva con el localizador de sección https://arxiv.org/html/2607.05120#S6.
LÍMITE
La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.
FIELD NOTES / ANOTACIONES

La lectura también deja rastro.

Guarda una observación junto a la evidencia. Tú escribes aquí; los agentes pueden añadir notas por MCP y aparecerán identificados.

MEMORIA PRIVADAEntra para anotar este paper y conectarlo con otros.
Entrar con ChatGPT
LECTURA AMPLIADAMetodología, implicaciones y preguntas para volver al paper.+
LECTURA EN 90 SEGUNDOSLo que conviene llevarse antes de abrir el PDF.
QUÉ HACE

La lectura de Background describe la intervención y su construcción: AI agents autonomously perform tasks on behalf of users by interacting with external environments such as file systems and web services [ 20 ] . An AI agent maintains an agent context, which contains all relevant information for a given task ( e . g ., user prompt, tool responses), and interacts with an LLM and tools. §II-A2 details the agent context. Figure 1 illustrates the workflow of an AI agent. Initially, the agent context only contains the system prompt, which includes tool descriptions and the guidelines for the agent’s behavior. When a user provides the user prompt ( 1 ), the agent appends it to the…

QUÉ APORTA

Es probablemente el hallazgo de seguridad de agentes más accionable de la semana. Afecta directamente a Claude Code, Codex, Gemini CLI, extensiones de navegador y cualquier agente que consuma herramientas o documentos externos.

QUÉ NO PRUEBA

La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en Evaluation.

Cómo lo llevaría a un proyecto

Probar la propuesta en threat modeling reproduciendo primero la comparación y registrando calidad, coste, latencia y errores.

threat modelingvalidación de tool outputsaislamiento de datossandboxingetiquetado de procedencia y políticas MCP.

Preguntas que conviene probar

  • ¿La mejora se mantiene cuando threat modeling cambia de dominio o distribución?
  • ¿Qué componente del método explica la mayor parte del resultado y qué baseline lo pone realmente a prueba?
PLANTILLA DE PRUEBA / INFERENCIA EDITORIAL

Si tuviera que convertirlo en una prueba mañana.

ENTRADAthreat modeling con un conjunto pequeño de casos representativos y la misma métrica o protocolo que la fuente cuando sea reproducible.
PREGUNTA¿La propuesta mejora threat modeling frente a la línea base actual?
MÉTRICAComparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
PARADAParar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

Mi lectura

La pregunta operativa es si threat modeling puede medirse con una línea base y un criterio de parada claros.

Esta última frase es una inferencia editorial a partir del paper y de sus posibles implicaciones; no es una afirmación de los autores.