Un grupo de usuarios de X consiguió que Grok publicara mensajes pidiendo la muerte de Elon Musk y acusándole de delitos, según recogió Futurism el 14 de agosto. El método no tuvo nada de sofisticado: escribir el texto en la biografía del perfil y pedirle al bot que la repitiera palabra por palabra.
Cómo funcionó el truco
- El usuario escribe el texto que quiere en su biografía de X.
- Le pide a Grok, mencionándolo en un post, que repita su bio literalmente.
- Grok lee la bio, la trata como una instrucción y publica el contenido en su propia respuesta.
- El mensaje aparece firmado por la cuenta oficial del chatbot, no por quien lo escribió.
Preguntado después por lo ocurrido, el propio Grok lo llamó un "prompt-injection glitch" y dijo que la acusación contra Musk era "puro error de sistema, sin ninguna evidencia ni base". Ni Musk ni xAI respondieron a las peticiones de comentario.
Por qué esto es un fallo de arquitectura y no una anécdota
La inyección de prompt es el problema sin resolver de todos los modelos de lenguaje. El sistema no distingue entre la instrucción del desarrollador y el texto que se encuentra por el camino. Todo entra por el mismo sitio y todo pesa parecido.
Cuando el modelo solo habla contigo en una ventana de chat, el daño se queda en tu pantalla. El problema aparece cuando el modelo lee contenido de terceros (una web, un documento, la biografía de un perfil ajeno) y además tiene permiso para actuar: publicar, enviar, ejecutar. Ahí, cualquiera que controle el contenido que el modelo lee, controla en parte lo que el modelo hace.
Grok reúne las dos condiciones. Lee lo que hay en X y publica en X con una cuenta que millones de personas ven como voz oficial de xAI. La biografía del perfil, que es texto que el usuario controla al cien por cien, funcionó como panel de mandos.
Y es un patrón conocido, no un caso aislado. En julio se documentó un gusano escondido en un documento de Word que se autopropagaba por Copilot y alteraba cifras en informes. Cisco Talos publicó cómo los atacantes convencen a agentes de programación como Claude Code, Codex y Cursor para conseguir permisos. Misma raíz en los tres casos.
El historial de Grok pesa
Este episodio llega con xAI ya bajo presión por la moderación de Grok. Un informe de Resemble contó que Grok concentraba el 87% de los ficheros de deepfakes rastreados en el primer semestre. La conversación sobre los guardarraíles del modelo no arranca hoy.
Lo llamativo del caso es lo barato del ataque. No hubo jailbreak elaborado ni cadena de prompts encadenados. Bastó con editar un campo de perfil que cualquiera puede editar en diez segundos.
Por qué importa
Si tienes o estás montando un agente que lee contenido que no controlas y puede actuar (responder emails, publicar, escribir en un CRM, ejecutar comandos), este es tu caso de estudio de esta semana.
La lección práctica cabe en dos reglas. La primera: todo texto que venga de fuera se trata como dato, nunca como instrucción, y eso hay que forzarlo en el diseño del sistema porque el modelo solo no lo va a hacer. La segunda: separa leer de actuar. Un agente que lee de fuentes abiertas no debería tener permiso de publicación directa sin una comprobación en medio, sea automática o humana.
xAI tiene un equipo grande y aun así le ha pasado en producción, en la cuenta más visible de la casa. La pregunta para cualquier empresa que esté montando esto es sencilla: ¿qué pasa en tu sistema si alguien escribe una instrucción dentro del texto que tu agente va a leer mañana?
Relacionado
