El prompt “Repeat‑After‑Me” vulnera seis marcos de agentes IA, según investigadores

En un artículo conjunto publicado el 9 de octubre de 2026, un grupo de académicos describió una nueva técnica adversaria llamada “Repeat‑After‑Me”. El método engaña a los agentes orquestados por IA para que ejecuten llamadas a herramientas suministradas por el atacante, eludiendo así los controles de seguridad incorporados.

Los investigadores evaluaron la técnica contra seis marcos de uso general: LangChain / LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents y CrewAI. Los seis resultaron vulnerables al prompt diseñado, según el estudio.

Cómo funciona el prompt “Repeat‑After‑Me”

El ataque comienza con una solicitud aparentemente inocua que incluye una frase como “repeat after me:”. El LLM interpreta la frase como una orden para reproducir literalmente el texto siguiente. Cuando el texto reproducido contiene una carga útil de llamada a herramienta, el marco lo trata como una petición legítima y la envía a la herramienta subyacente.

En la demostración de LangGraph 1.2.0, el modelo (Llama 3.1 8B a través de Ollama) inicialmente rechazó la solicitud pero aun así emitió la cadena cruda de la llamada a herramienta. Tras una reformulación hipotética, el modelo generó una llamada estructurada que se ejecutó antes de que se procesara el rechazo, confirmando la viabilidad del exploit.

Alcance de las vulnerabilidades

Más allá del bypass basado en prompts, los autores realizaron una campaña de fuzzing a gran escala en 273 servidores de orquestación multiherramienta (MCP) de código abierto. Descubrieron 253 errores de seguridad verificados en 118 servidores, afectando a 343 herramientas distintas.

El desglose de los hallazgos más graves incluye 64 fallos de recorrido de rutas, 7 vulnerabilidades de falsificación de solicitudes del lado del servidor (SSRF), 5 incidentes de fuga de datos y 3 vulnerabilidades de inyección de comandos del SO. El resto de los bugs eran principalmente problemas de inyección en salidas o registros.

Presentando el marco de fuzzing ToFu

Para cubrir estas brechas, los investigadores lanzaron ToFu, un marco de fuzzing que lee los metadatos de las herramientas, los asigna a entradas CWE relevantes y genera automáticamente controles de seguridad. ToFu crea harnesses y oráculos semánticos al introspectar trazas de ejecución y sanitizar los resultados.

• Generación automática de harnesses de fuzzing a partir de especificaciones de herramientas
• Oráculos semánticos construidos mediante introspección de ejecución
• Plantillas de control de seguridad basadas en CWE
• Pruebas por lotes de miles de instancias de herramientas
• Informe de bugs verificados con payloads reproducibles

El artículo señala que muchas herramientas confían implícitamente en las salidas del LLM para la sanitización de entradas, incluso cuando esas entradas provienen de otras herramientas o de contenido externo. Esta confianza implícita amplía la superficie de ataque, permitiendo exploits encadenados a través de múltiples componentes orquestados.

Los mantenedores de LangGraph fueron notificados sobre la ausencia de controles previos a la ejecución, pero no se ha registrado una respuesta pública de los equipos detrás de LangChain, Microsoft, Google, AWS o CrewAI al momento de redactar este artículo.

Para las organizaciones de habla hispana que dependen de estos marcos de agentes, los hallazgos implican que cualquier flujo de trabajo impulsado por LLM que incorpore herramientas externas debe considerarse vulnerable hasta que se implementen mitigaciones concretas. Las medidas inmediatas incluyen desactivar la ejecución automática de herramientas, aplicar una validación estricta de entradas fuera del LLM e integrar pruebas de fuzzing al estilo ToFu en la canalización CI para detectar fallos de confianza antes de que puedan ser explotados.

Recomendaciones de mitigación a corto plazo

Se aconseja a los equipos de desarrollo revisar los pipelines de orquestación, añadir filtros de whitelist para llamadas a herramientas y registrar exhaustivamente cualquier intento de ejecución no autorizada, de modo que se pueda rastrear y bloquear rápidamente cualquier abuso del prompt “Repeat‑After‑Me”.

Este informe se redactó desde la oficina de L'actu IA en Madrid, donde seguimos de cerca la evolución de la seguridad en los sistemas de IA generativa.