Es más fácil inyectar un aviso en un humano que en un LLM