El texto oculto en los PDF puede engañar a los procesadores de documentos con IA

En noviembre de 2026, Tom Clancy publicó un análisis técnico detallado sobre cómo identificó vulnerabilidades críticas de seguridad en una herramienta interna de IA diseñada para procesar documentos financieros. El artículo revela que los métodos estándar de análisis de PDF son susceptibles a la manipulación mediante texto oculto, caracteres invisibles y ofuscación del diseño, lo que permite a actores maliciosos inyectar datos falsos que los sistemas automatizados leen pero que los humanos no ven.

Qué ocurrió

Clancy fue encargado de definir protocolos de aseguramiento de calidad para una aplicación interna que lee PDF de presentaciones ante la SEC y extractos de cuentas. Mientras que las pruebas de regresión tradicionales garantizaban que el analizador manejaba correctamente los documentos estándar, no tenían en cuenta la intención maliciosa. Clancy descubrió que, al incrustar texto blanco sobre fondo blanco o colocar texto fuera de la caja de recorte visible, podía alimentar exitosamente cifras financieras incorrectas al agente de IA sin alterar la apariencia visual del documento para los revisores humanos.

La vulnerabilidad iba más allá de simples trucos de color. Clancy demostró que el texto de altura cero y los caracteres fantásticamente altos también podían evadir la inspección visual manteniéndose legibles para el analizador. Más preocupante aún, creó una nota al pie haciendo referencia a un cambio inexistente y reciente en una norma de la SEC, instruyendo a la IA para que reportara todos los números como un valor fijo específico. Esto puso de manifiesto un doble fallo: el sistema carecía de salvaguardas contra la inyección de prompts a través del contenido del documento, y el equipo de desarrollo no tenía recursos designados para abordar estos riesgos emergentes de seguridad específicos de la IA.

Para mitigar estas amenazas, Clancy desarrolló una suite de comprobaciones especializadas que denomina "jueces". En lugar de depender de una única capa de seguridad monolítica, este enfoque utiliza múltiples validadores independientes, cada uno dirigido a un vector de ataque específico. Este modelo de defensa tipo "queso suizo" asegura que, incluso si una comprobación pasa por alto una manipulación sofisticada, es probable que otra la detecte. Los jueces operan en la etapa de entrada, escrutando la estructura bruta del PDF antes de que cualquier dato sea pasado al modelo de lenguaje.

Detalles clave

• Juez HiddenInk: Analiza las representaciones de píxeles para detectar marcas tenues o luminancia de bajo contraste que no corresponden a tinta oscura visible, capturando texto blanco sobre blanco tanto en documentos digitales como escaneados.
• Juez Text Raster Divergence: Mapea las cajas de caracteres desde la capa de texto a coordenadas de píxel para verificar que la tinta existe realmente donde el texto afirma estar, identificando elementos de texto fuera de página o invisibles.
• Juez Unicode Obfuscation: Escanea la capa de texto en busca de caracteres Unicode invisibles, como espacios de ancho cero o controles de formato, y detecta confusables de escritura mixta, como caracteres cirílicos disfrazados de letras latinas.
• Juez Accessibility Channel: Examina el árbol de estructura del PDF etiquetado en busca de texto declarado en campos de accesibilidad como /Alt o /ActualText que no aparece en la página renderizada, evitando que instrucciones solo para lectores de pantalla influyan en la IA.
• Juez Glyph Overlap: Comprueba la proximidad geométrica sospechosa entre diferentes cajas de caracteres, identificando casos donde un glifo se dibuja sobre otro para alterar visualmente un dígito mientras preserva el valor original de la capa de texto.
• Juez Non-Text Ink: Renderiza la página dos veces, una normalmente y otra eliminando objetos no textuales, para comparar los píxeles dentro de las cajas de caracteres y detectar trazos o imágenes que alteran visualmente los números.

Contexto

Los PDF son formatos contenedor complejos que separan la representación visual de un documento de su estructura de datos subyacente. Un PDF puede contener una capa de texto utilizada para búsqueda y copia, una capa visual para el renderizado y un árbol de accesibilidad para lectores de pantalla. Estas capas no siempre se alinean perfectamente, creando brechas que los actores maliciosos pueden explotar. Por ejemplo, un documento puede mostrar visualmente el número "100" mientras contiene el texto "1000000" en su capa de texto oculta o etiquetas de accesibilidad.

Los agentes de IA típicamente extraen texto de estas diversas capas para comprender el contenido del documento. Si el proceso de extracción no valida rigurosamente que el texto extraído coincide con la realidad visual, el agente se vuelve vulnerable a la "inyección de prompts" a través del propio documento. Esto es distinto de la inyección tradicional de entrada del usuario, ya que la carga útil maliciosa está incrustada dentro de un documento empresarial aparentemente legítimo, lo que dificulta su detección sin lógica de análisis especializada.

Por qué importa

Para equipos que ejecutan software autoalojado que procesa documentos sensibles, como facturas, contratos o informes financieros, esta vulnerabilidad plantea un riesgo significativo. Un atacante podría alterar sutilmente cifras clave en un contrato o factura, sabiendo que la IA procesará el valor oculto mientras el aprobador humano solo ve los datos visuales correctos. Esto socava la confiabilidad de los flujos de trabajo automatizados y puede conducir a pérdidas financieras o violaciones de cumplimiento normativo.

Además, el artículo destaca una brecha organizacional común: muchos equipos adoptan herramientas de IA sin ajustar sus modelos de personalización o seguridad para tener en cuenta nuevos vectores de amenaza. El QA tradicional se centra en la corrección funcional, no en la robustez adversarial. Sin recursos dedicados para probar la manipulación, las empresas pueden desplegar sistemas de IA que son funcionalmente correctos pero frágiles en seguridad, dejándolos expuestos a ataques sofisticados de ingeniería social incrustados en formatos de archivo.

Qué puedes hacer

• Implementar comprobaciones de validación multicapa que comparen la representación visual de un documento con sus capas de texto y accesibilidad antes del procesamiento.
• Utilizar análisis basado en píxeles para detectar texto oculto o de bajo contraste que puede no ser visible a simple vista pero es legible por los analizadores.
• Sanear la entrada Unicode eliminando caracteres invisibles y normalizando escrituras para prevenir ataques de caracteres confusables.
• Verificar que el texto encontrado en etiquetas de accesibilidad o metadatos aparezca realmente en la parte visible del documento.
• Tratar todos los documentos subidos como entradas no confiables, independientemente de su origen, y aplicar reglas estrictas de análisis para extraer solo datos confirmados visualmente.
• Asignar recursos específicos de QA a pruebas adversariales, simulando entradas maliciosas para identificar y parchear vulnerabilidades en las tuberías de procesamiento de documentos.