En sus inicios, antes de las centrales telefónicas automatizadas, los operadores humanos conectaban manualmente las llamadas. Entre los operadores y las centrales estaba el usuario regular, que simplemente realizaba su comunicación. En ese espacio surgió la ingeniería social telefónica en dos niveles: primero engañando a los operadores para obtener conexiones no autorizadas; y luego engañando directamente a los propios usuarios una vez establecida la llamada. Los atacantes aprovechaban la confianza implícita en la comunicación telefónica para extraer información personal o corporativa, manipulando a las personas para revelar datos sensibles sin sospechar que estaban siendo víctimas de un ataque.
Más adelante, con la llegada de las centrales automáticas y los PBX, las amenazas evolucionaron hacia la manipulación técnica del espectro acústico. El famoso caso del silbato de Cap’n Crunch, que imitaba la frecuencia exacta de 2600 hercios, demostró que se podía engañar a un sistema automatizado explotando la señalización en banda: el canal de control y el canal de voz eran el mismo.
Aquellas técnicas primitivas de recrear frecuencias guardan un paralelismo directo con las amenazas actuales en ciberacústica. Hoy, en los modelos nativos de audio, volvemos a enfrentar la misma debilidad de diseño: las instrucciones de control del sistema y la entrada del usuario viajan unificadas en el mismo canal conversacional. Y es precisamente esa continuidad histórica —la voz como canal de control— la que nos lleva a un problema moderno que rara vez se discute. Por tanto, hay algo que estamos pasando por alto.
Durante años entrenamos sistemas para reconocer la voz humana. Les enseñamos a interpretar tonos, pausas, intención y contexto. Convertimos la voz en identidad, autenticación y confianza. Y justo ahí aparece el problema, porque hoy la voz ya no es necesariamente humana. La evolución de los IVR tradicionales hacia sistemas conversacionales impulsados por inteligencia artificial (IA) ha creado una ilusión peligrosa: creemos que hablamos con máquinas más inteligentes, pero rara vez cuestionamos quién —o qué— les habla a ellas.
Desde la ciberacústica, esto abre una superficie de ataque emergente. Ya no se trata únicamente de escuchar; se trata de interpretar instrucciones que nunca debieron ser obedecidas.
Cuando la conversación y la voz se convierte en vector de ataque
Los sistemas conversacionales actuales destacan en comprensión de lenguaje natural, mantenimiento de contexto y generación de respuestas precisas. Esa misma capacidad se convierte en su mayor debilidad. El problema no es solo técnico; es profundamente semántico.
Un modelo de IA no siempre distingue entre una conversación legítima y una instrucción adversarial cuidadosamente disfrazada. Ejercicios de red teaming demuestran que diálogos aparentemente inocentes pueden inducir a asistentes conversacionales a revelar información sensible o ejecutar acciones no autorizadas.
Este fenómeno representa una evolución natural del Prompt Injection, que OWASP identifica como el principal riesgo en su Top 10 for LLM Applications (2025). Pero aquí surge la diferencia clave: El ataque ya no llega por teclado. Llega por la voz, el canal más natural y menos cuestionado.
Una definición operativa
Antes de avanzar hacia los escenarios de ataque, es necesario establecer un marco conceptual claro. Aunque el término ha aparecido de manera informal en publicaciones y discusiones técnicas, aún no existe una definición ampliamente aceptada para describir este comportamiento específico en interfaces conversacionales por voz. A partir de las observaciones presentadas en este artículo, propongo la siguiente definición operativa: Voice-based Prompt Injection es la manipulación de sistemas de IA conversacional mediante instrucciones habladas diseñadas para alterar su comportamiento, eludir controles de seguridad o inducir la exposición de información no autorizada.
Este fenómeno es bicéfalo:
- En sistemas tradicionales STT → LLM, la prosodia, las pausas y la entonación pueden alterar la transcripción, modificar la puntuación y cambiar el sentido semántico del texto que recibe el modelo.
- En modelos nativos de audio, donde el sistema interpreta directamente la señal acústica (como GPT-4o o Gemini Live), la superficie de ataque es aún mayor: modulaciones sutiles, tonos emocionales simulados o incluso señales acústicas no evidentes para el usuario pueden influir en la interpretación del modelo, como ya ocurre en ataques ultrasónicos contra micrófonos.
En ambos casos, la voz introduce elementos que pueden reforzar la manipulación cuando el pipeline no separa adecuadamente las instrucciones internas de la entrada del usuario. Investigaciones recientes sobre jailbreaks en modelos audio-lenguaje confirman que estos vectores son viables y crecientes.
La siguiente fase: automatización y escalabilidad
El verdadero riesgo no está en el ataque manual. La historia de la ciberseguridad demuestra que una técnica comienza a transformar el panorama cuando deja de depender de una persona y pasa a ser ejecutada por miles de agentes de manera simultánea.
Hoy es técnicamente viable desarrollar agentes capaces de generar voz sintética prácticamente indistinguible de la humana, gracias a modelos como VALL-E y sus sucesores, y mantener conversaciones contextuales en tiempo real. Esto habilita escenarios avanzados.
La automatización no solo multiplica el ataque: lo despersonaliza. Ya no hace falta un atacante humano sosteniendo la conversación, hace falta solo un objetivo y tiempo de cómputo.
En escenarios avanzados, un prompt de voz no solo puede manipular el comportamiento del asistente, sino también inducir acciones que comprometan a la institución que la opera: desde la exposición de configuraciones internas hasta la obtención de datos almacenados en servicios conectados, e incluso información sobre la infraestructura subyacente.
Cuando la interacción por voz no está adecuadamente aislada del plano operativo, la conversación se convierte en un vector capaz de desencadenar operaciones que nunca debieron depender de una instrucción hablada.
Un posible escenario: ‘Voice Swarm Attack’
Como evolución natural de este fenómeno propongo el concepto de Voice Swarm Attack para describir ataques coordinados en los que múltiples agentes conversacionales interactúan simultáneamente con un sistema IVR impulsado por IA.
A diferencia de un ataque de denegación de servicio distribuido tradicional, cuyo objetivo es agotar recursos computacionales, este modelo busca saturar el contexto conversacional, consumir recursos cognitivos del sistema o aumentar la probabilidad de respuestas fuera de política. El agotamiento deja de ser computacional para convertirse en semántico.
Otro comportamiento emergente: ‘Autonomous IVR Scanning’
Autonomous IVR Scanning es un proceso mediante el cual agentes automatizados realizan llamadas masivas para descubrir, identificar y perfilar sistemas IVR antes de una fase posterior de explotación.
Es el equivalente moderno del reconocimiento de superficie de ataque, aplicado al canal acústico.
‘Targeted Voice Exploitation’
A diferencia de los dos conceptos anteriores, que representan escenarios nuevos, este caso conecta directamente con la literatura existente sobre deepfake vishing.
Una vez identificado un objetivo vulnerable, voces sintéticas o clonadas de empleados, clientes o figuras de autoridad, pueden emplearse para inducir respuestas fuera de política y extraer información sensible sin intervención humana directa.
Este escenario sirve como puente entre los ataques tradicionales de ingeniería social y los nuevos modelos automatizados basados en ciberacústica.
Mitigación efectiva
La buena noticia es que muchas de estas amenazas pueden mitigarse desde el diseño, siempre que abandonemos la idea de que toda conversación es inherentemente confiable. Antes de llegar al modelo, la capa de ciberacústica es hoy la defensa más viable:
- Análisis multimodal acústico+semántico: Evaluar prosodia, patrones de silencio, marcadores de síntesis artificial, señales de deepfake y anomalías acústicas.
- Guardrails semánticos específicos para voz: Interceptar instrucciones disfrazadas antes de que lleguen al motor conversacional.
Luego, en el plano arquitectónico:
- Separación estricta entre instrucciones y entrada del usuario: Aunque es el ideal teórico, la arquitectura actual de los modelos transformer no permite un aislamiento completo.
- Principio de mínimo privilegio: Los modelos no deben acceder directamente a datos sensibles.
- Verificación humana o multifactor: Ninguna instrucción hablada debe ejecutar acciones críticas por sí sola.
- Auditoría continua y red teaming: Evaluar periódicamente los sistemas conversacionales como cualquier superficie expuesta.
Ciberacústica: de la identidad a la superficie de ataque
Durante décadas, la ciberseguridad protegió sistemas frente a archivos, paquetes, procesos y código ejecutable. La IA conversacional incorpora un nuevo elemento a esa lista: la conversación misma.
Desde la ciberacústica, la voz deja de ser únicamente un mecanismo de autenticación para convertirse también en un objeto de análisis, monitoreo y defensa. La voz sigue validando identidad, pero ahora también puede generarse, clonarse, automatizarse y escalarse.
Aquí es importante distinguir dos conceptos:
- Synthetic Voice Automated Phishing (SVAP): Describe el vector de phishing telefónico automatizado.
- Voice-based Prompt Injection: Describe la manipulación del modelo conversacional que recibe esa interacción.
Ambos se complementan, pero operan en planos distintos del ataque.
El desafío deja de ser únicamente verificar quién habla. También debemos determinar si lo que se dice merece ser procesado por el sistema.
Conclusión
El Voice-based Prompt Injection es una evolución lógica de las amenazas contra sistemas de IA. Su verdadero impacto radica en la capacidad de automatizarse y escalar masivamente.
Cuando la voz se vuelve programable, reproducible y masiva, la superficie de ataque se desplaza de los sistemas hacia las interacciones mismas.
Comprender esa transición será uno de los grandes desafíos de la próxima década. Porque, por primera vez, la superficie de ataque ya no comienza cuando un atacante ejecuta un código. Puede comenzar, simplemente, cuando alguien dice «hola».
