PIDS-Bench: los detectores de prompt injection fallan más de lo que crees
Un benchmark revela que detectores con F1 >0,98 bloquean un tercio de consultas legítimas externas. Los falsos positivos son el talón de Aquiles ignorado.
👁 114 lecturas
Los autores del trabajo - Yusuf Khalid Shire y Sang-Chul Kim - publicaron en IEEE Access (vol. 14, pp. 134184-134205, 2026) un benchmark llamado PIDS-Bench, que evalúa detectores de prompt injection en condiciones significativamente más difíciles que las utilizadas habitualmente. El artículo tiene 21 páginas, contiene 3 figuras y 18 tablas.
El problema del enfoque tradicional
Los detectores de prompt injection suelen evaluarse con una única métrica: el F1 agregado sobre datos de prueba con la misma distribución que los datos de entrenamiento. Los autores señalan que este enfoque oculta un problema importante: qué ocurre con las consultas inofensivas que el detector clasifica erróneamente como ataques. Los falsos positivos tienen un coste operativo directo y, sin embargo, rara vez se miden. El benchmark PIDS-Bench se define como «congelado» (frozen), lo que significa que su contenido no cambia - gracias a ello, diferentes sistemas pueden compararse sobre datos idénticos.
Qué mide PIDS-Bench
El benchmark evalúa detectores a lo largo de varios ejes simultáneamente, con umbrales de decisión fijos. El conjunto de datos incluye cuatro categorías de entradas: datos con distribución coherente con el entrenamiento, los llamados «hard-benign prompts» (consultas que imitan la estructura de un ataque pero no tienen intención maliciosa), ataques ofuscados (obfuscated attacks) y datos con desplazamiento de distribución de dominio y estructural. Se evaluaron siete detectores: modelos base entrenados, clasificadores externos de prompt injection y clasificadores de seguridad más amplios, utilizando como referencia un detector simple basado en reglas.
Resultados principales
El resultado clave es el siguiente: un detector que alcanza un F1 superior a 0,98 en el conjunto de prueba interno sigue clasificando erróneamente alrededor de un tercio del subconjunto externo de consultas inofensivas. Este subconjunto externo proviene de conjuntos de datos públicos y se limita a contenido relacionado con seguridad. Los autores probaron el rango completo de umbrales de decisión con cinco inicializaciones diferentes (training seeds) - ningún detector interno logró simultáneamente F1 >= 0,95 y tasa de falsos positivos en hard-benign FPR <= 0,10 en esta distribución difícil.
La procedencia de los datos importa
Los autores descubrieron un patrón que llamaron «provenance-sensitive over-defense» - defensa excesiva sensible a la procedencia de los datos. Añadir ejemplos negativos difíciles al entrenamiento (hard-negative augmentation) elimina casi por completo el problema de bloqueo excesivo en ejemplos de prueba cuidadosamente preparados, pero no lo resuelve en datos procedentes de fuentes externas. Este patrón aparece en ambas arquitecturas de modelos fine-tuneados probadas y no se debilita con el aumento del pool de datos de augmentación - el FPR en datos externos permanece muy por encima del objetivo de 0,10. Los autores señalan explícitamente que no comprobaron si la augmentación ajustada a la distribución de datos externos cerraría esta brecha. La simple calibración del umbral y la augmentación al estilo de datos curados no son suficientes.
Google · Tus fuentesBrilla más alto en tu Google - con un solo clicAñadir a fuentes preferidas →Qué implica esto
En nuestra opinión, este trabajo muestra un problema práctico concreto: si implementas un detector de prompt injection y lo evalúas solo con tus propios datos de prueba, puedes tener una falsa sensación de seguridad. Un resultado de F1 cercano a 1,0 no te protege de que el sistema bloquee una de cada tres consultas normales de usuario cuando se encuentre con contenido de otro dominio. El benchmark está congelado y disponible públicamente, lo que significa que los creadores de nuevos detectores pueden usarlo como punto de referencia común - esto es valioso, porque hasta ahora cada uno medía su sistema de forma diferente. Al mismo tiempo, los propios autores reconocen que no probaron la solución más obvia: augmentación ajustada a la distribución de datos externos, por lo que no se sabe si el problema es siquiera resoluble por esa vía.
Fuente: arXiv cs.AI: PIDS-Bench: Evaluating Prompt-Injection Detectors Under Over-Defense, Obfuscation, and Distribution Shift (documento del 15-09-2026). Este análisis se basa en el texto completo del documento, no en informes de otros medios.
More on this from FULGOR
panorama de la ia·¿Tu agente IA repite el resultado? El problema de consistenciaIBM Research revela que un agente con 77% de acierto en benchmarks cae al 53% cuando debe acertar cinco veces seguidas en la misma tarea.