Esta entrada de blog es la sexta de una serie sobre las medidas de protección para la IA.
No todas las medidas de protección de la IA funcionan de la misma manera. Esa diferencia es cada vez más difícil de ignorar. A medida que las organizaciones incorporan mecanismos de control durante la inferencia, es decir, en el momento en que un modelo procesa una instrucción y genera una respuesta, se suelen confundir dos enfoques.
Uno se basa en clasificadores entrenados específicamente y optimizados para ofrecer rapidez. El otro utiliza controles basados en LLM, diseñados para razonar sobre la intención, el contexto y las políticas. Ambos suelen describirse como mecanismos de protección en tiempo de ejecución, pero se comportan de forma muy distinta en entornos de producción. Esto ha generado una creciente confusión sobre qué protegen realmente estos mecanismos, cuáles son sus limitaciones y por qué las métricas de rendimiento por sí solas no ofrecen una visión completa.
A medida que los sistemas de IA maduran tras su despliegue inicial, las limitaciones de los clasificadores estáticos se hacen más evidentes, especialmente cuando se espera que las medidas de protección evolucionen al ritmo del uso en el mundo real, las amenazas emergentes y los cambios en los requisitos normativos.
“La confusión en torno a las medidas de protección de la IA no es solo semántica. Determina cómo se protegen en la práctica los sistemas de IA. Las medidas de protección basadas en aprendizaje automático y las impulsadas por modelos de lenguaje de gran tamaño resuelven problemas distintos, optimizan diferentes equilibrios entre ventajas e inconvenientes y fallan de maneras diferentes.”
Qué entendemos por barreras de protección en tiempo de ejecución
Antes de comparar los distintos enfoques, es importante distinguir entre las medidas de protección a nivel de modelo y las medidas de protección en tiempo de ejecución.
Las medidas de protección del modelo suelen aplicarse durante el entrenamiento o la alineación e influyen en el comportamiento que se espera de este. Las medidas de protección en tiempo de ejecución actúan durante la inferencia. Inspeccionan las instrucciones y las respuestas en tiempo real y aplican las políticas establecidas mientras los sistemas de IA interactúan con usuarios, agentes, API y datos empresariales.
Esta distinción es importante porque la mayoría de los fallos graves no se manifiestan durante el entrenamiento ni en las pruebas comparativas. La inyección de instrucciones, la filtración indirecta de datos, la escalada de privilegios y la elusión de políticas surgen durante las interacciones en tiempo real, en las que los controles deben tomar decisiones de forma continua y, a menudo, en condiciones adversas.
Dónde funcionan bien las medidas de protección basadas en ML
Las medidas de protección basadas en ML, incluidos los denominados «clasificadores diseñados específicamente» por muchos proveedores, utilizan técnicas tradicionales de aprendizaje automático (ML) o modelos de lenguaje pequeños (SLM) entrenados con datos etiquetados para detectar categorías de riesgo conocidas. Funcionan bien cuando los patrones son estables, las definiciones son precisas y las decisiones deben tomarse con extrema rapidez.
Estos enfoques se valoran por su baja latencia y rendimiento predecible, su rentabilidad a gran escala y su elevada precisión a la hora de detectar riesgos bien definidos, como categorías de toxicidad conocidas, formatos habituales de información de identificación personal (PII) o patrones de inyección de instrucciones basados en firmas.
Los clasificadores diseñados para fines específicos pueden ser muy eficaces dentro de su ámbito de aplicación. Si se mantienen actualizados, ofrecen una protección fiable frente a amenazas recurrentes y bien conocidas. Al igual que en la seguridad tradicional, estos controles siguen siendo una parte necesaria de una estrategia de defensa por capas.
Las medidas de protección basadas en aprendizaje automático tienen dificultades cuando el contexto es importante
Los sistemas de IA generativa operan en condiciones para las que los clasificadores tradicionales nunca fueron diseñados. Las instrucciones son abiertas. Los ataques se adaptan. Las infracciones suelen ser indirectas y puede que solo se hagan evidentes tras varios turnos o interacciones.
Estas limitaciones son estructurales. Los clasificadores diseñados específicamente dependen de ejemplos previos y tienen dificultades con casos extremos, como formulaciones novedosas, técnicas de ofuscación o el encadenamiento de prompts. Los modelos de aprendizaje automático pueden detectar patrones, pero no razonan sobre la intención, el rol o los matices de las políticas. Ampliar la cobertura suele requerir volver a entrenar o etiquetar los modelos, lo que provoca retrasos a medida que evolucionan las amenazas. Traducir políticas empresariales, legales o normativas complejas en etiquetas fijas suele resultar poco práctico.
Estas limitaciones se hacen especialmente evidentes tras la implementación inicial. Las medidas de protección basadas en aprendizaje automático funcionan mejor cuando los riesgos se ajustan a patrones estáticos y las políticas cambian lentamente. Los sistemas de IA generativa no operan en esas condiciones. A medida que evolucionan los prompts, los usuarios, los agentes y las integraciones, los controles deben adaptarse sin necesidad de reentrenamiento constante ni de ampliar manualmente las reglas. Es aquí donde los enfoques basados exclusivamente en aprendizaje automático se quedan cortos, no porque carezcan de valor, sino porque no fueron diseñados para permitir una aplicación continua y adaptativa de las políticas a lo largo del tiempo.
Por qué las medidas de protección basadas en LLM cambian las reglas del juego
Las medidas de protección basadas en LLM utilizan grandes modelos de lenguaje para evaluar las instrucciones y los resultados en su contexto. En lugar de comprobar si una interacción coincide con un patrón conocido, determinan si infringe las políticas teniendo en cuenta la intención, el caso de uso, los datos implicados y el historial de interacciones circundante.
Esto permite ofrecer capacidades que los clasificadores por sí solos difícilmente pueden proporcionar.
Las barreras de protección basadas en LLM pueden interpretar solicitudes indirectas, ataques de varios pasos e intenciones ocultas. Esto es fundamental para detectar técnicas modernas de inyección de prompts y jailbreak que eluden la detección basada en patrones.
También permiten evaluar las interacciones con respecto a políticas expresadas en lenguaje natural. Sin embargo, no todas las implementaciones basadas en LLM admiten una verdadera personalización. Muchas se basan en políticas fijas definidas por el proveedor que se aplican de manera uniforme en todos los casos de uso.
Las medidas de protección personalizables basadas en LLM permiten a las organizaciones definir, ajustar y aplicar políticas a medida en tiempo de ejecución. Estas políticas pueden adaptarse a aplicaciones específicas, a la sensibilidad de los datos, a los roles de usuario y a la tolerancia al riesgo. Esta distinción es fundamental en entornos empresariales, donde un mismo modelo puede utilizarse para la investigación interna, los flujos de trabajo orientados al cliente y los procesos regulados, cada uno con requisitos de aplicación diferentes.
Dado que las barreras de protección basadas en LLM razonan en lugar de limitarse a clasificar, se adaptan mejor a las nuevas técnicas de ataque. Al combinarlas con datos de pruebas adversariales actualizados continuamente, las defensas evolucionan al ritmo de las amenazas reales en vez de quedarse rezagadas.
Sin embargo, por sí solas, las barreras de protección basadas en LLM no garantizan una aplicación continua, la personalización ni la resiliencia operativa. Estas capacidades dependen de cómo se integre el razonamiento basado en LLM en un marco más amplio de control en tiempo de ejecución.
Por qué las medidas de protección de la IA generativa son importantes después del primer día
Las medidas de protección basadas en LLM incorporan la capacidad de razonar sobre la intención y el contexto. Las medidas de protección para la IA generativa amplían esta capacidad mediante un plano de control en tiempo de ejecución diseñado para operar, adaptarse y aplicar políticas en distintos sistemas de IA generativa mucho después de su implementación inicial. Esta distinción es importante porque el razonamiento por sí solo no basta cuando los sistemas de IA quedan expuestos a usuarios reales, datos reales y comportamientos adversarios reales.
Las implementaciones iniciales de IA suelen poder protegerse mediante controles estáticos y la detección de patrones conocidos. Estos enfoques pueden resultar eficaces durante las primeras fases del despliegue, cuando el uso está limitado y los riesgos son relativamente predecibles. Con el tiempo, los sistemas de IA generativa evolucionan, los prompts cambian, se introducen nuevos agentes, se amplían las integraciones, las técnicas de ataque se adaptan y las políticas se modifican en respuesta a requisitos normativos, empresariales u operativos.
En esta fase, a menudo denominada operaciones del segundo día, las medidas de protección deben ir más allá de detectar infracciones conocidas. Deben interpretar continuamente la intención, adaptarse a nuevas vulnerabilidades y aplicar políticas que reflejen cómo se utiliza realmente la IA en producción. Para ello, se necesitan controles en tiempo de ejecución que puedan evolucionar sin necesidad de reentrenamiento constante, nuevos despliegues ni ampliación manual de las reglas.
Las medidas de protección para la IA generativa están diseñadas para esta realidad. Aplican un razonamiento basado en LLM dentro de un marco operativo que permite la personalización, la aplicación continua y la evolución de las políticas en modelos, agentes, usuarios y flujos de datos. En lugar de sustituir los controles existentes, complementan las medidas de protección basadas en aprendizaje automático al aportar la flexibilidad y la comprensión semántica necesarias para mantener la seguridad a medida que maduran los sistemas de IA generativa.
El papel de las defensas híbridas
Las estrategias de seguridad en tiempo de ejecución más eficaces no eligen entre las barreras de protección basadas en ML y las basadas en LLM. Las combinan mediante barreras de protección para la IA generativa que aplican el razonamiento dentro de una capa coherente de aplicación de políticas en tiempo de ejecución.
Los clasificadores diseñados específicamente para este fin bloquean de forma eficiente las amenazas conocidas y recurrentes. El razonamiento basado en LLM aborda la ambigüedad, las situaciones novedosas y los matices de las políticas. Juntos, conforman un enfoque de defensa en profundidad acorde con prácticas de seguridad consolidadas. La diferencia con la IA generativa es que el uso posterior a la implantación es la norma, no la excepción. Los controles que no puedan adaptarse con el tiempo perderán eficacia inevitablemente.
La claridad es importante durante la ejecución
La confusión en torno a las medidas de protección de la IA no es solo semántica. Determina cómo se protegen los sistemas de IA en la práctica. Las medidas de protección basadas en aprendizaje automático y las impulsadas por modelos de lenguaje de gran tamaño resuelven problemas distintos, optimizan diferentes equilibrios y fallan de maneras diferentes.
La velocidad y el coste siguen siendo aspectos importantes, pero no bastan por sí solos. Una protección eficaz en tiempo de ejecución depende del contexto, de la capacidad de adaptación y de la posibilidad de aplicar políticas que reflejen casos de uso reales a medida que evolucionan. Las barreras de protección basadas en aprendizaje automático, incluidos los clasificadores diseñados específicamente para este fin, desempeñan un papel valioso, pero por sí solas no pueden satisfacer las exigencias continuas de la IA generativa en producción.
La seguridad continua durante la inferencia requiere mecanismos de protección para la IA generativa que conviertan el razonamiento basado en LLM en controles adaptativos y aplicables en tiempo de ejecución para las operaciones del segundo día y posteriores, cuando surgen los riesgos reales y las defensas estáticas dejan de ser suficientes.
Descubra cómo F5 AI Guardrails permiten aplicar controles en tiempo de ejecución en distintos modelos, agentes y casos de uso.
Además, no dejes de consultar estas entradas anteriores de nuestra serie:
IA responsable: Guardrails para alinear la innovación con la ética
Privacidad de los datos en la IA: Guardrails que protegen los datos sensibles
Por qué no pueden esperar tu política, gobernanza y medidas de protección de la IA
Gestión de riesgos de la IA: cómo las medidas de protección pueden ayudar a mitigarlos
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.