Inyección de mensajes en la capa de audio contra Claude: Lo que no está en la transcripción

Un desarrollador que ha estado construyendo una API de detección de inyección de prompts durante unos meses lanzó recientemente el escaneo de audio y compartió sus hallazgos en r/ClaudeAI. Los resultados resaltan una brecha en la seguridad de los agentes de voz: los ataques en la capa de audio que son invisibles en los registros porque evaden el pipeline de transcripción de texto.

Qué funciona (y qué no) con los ataques de audio

Los ataques obvios fallan. Reproducir "ignora tus instrucciones anteriores" en voz alta en una entrada de voz — Claude lo transcribe con precisión, reconoce la forma del ataque y se niega. Igual que con texto.

El verdadero problema: ataques en la capa de señal

Los casos interesantes están en la señal, no en la transcripción. Existe una clase de ataque de audio que incrusta instrucciones en frecuencias que los humanos no registran como habla. La transcripción resulta limpia porque no hay nada audible que transcribir. Pero dependiendo de cómo el pipeline de audio procese la entrada antes de la transcripción, el contenido de la capa de señal puede influir en lo que recibe el modelo. El ataque es invisible en los registros porque estos solo capturan lo que se transcribió, no lo que había en el audio.

Por separado, el habla con velocidad alterada crea un problema diferente. Ralentizar el audio a 0.7x o 0.8x de lo normal lo hace sonar extraño para un oyente humano, pero las herramientas de transcripción lo manejan con precisión. Alguien que lea una transcripción no vería nada inusual. Alguien que escuche notaría que algo está ligeramente fuera de lugar, pero probablemente no sabría por qué.

Implicaciones para los agentes de voz

La suposición de que "revisa la transcripción y has revisado el audio" es más frágil de lo que parece. El problema de la inyección de texto está bastante bien entendido a estas alturas, pero el equivalente en audio se siente mucho menos mapeado. El desarrollador ha estado agregando casos de prueba de audio a su juego adversarial en castle.bordair.io — a partir del Reino 4 hay niveles de audio que demuestran estos ataques en la práctica.

A quién le importa esto

Cualquiera que construya implementaciones de agentes de voz usando Claude o LLMs similares, especialmente aquellos que confían únicamente en la inspección de transcripciones para la validación de seguridad.