Cómo atacan los bots a los grandes modelos de lenguaje: el Top 10 de OWASP para LLM

Jim Downey

Los bots y la IA llevan mucho tiempo estrechamente ligados. Las primeras pruebas CAPTCHA, creadas para frenar a los bots, se diseñaron como problemas fáciles de resolver para los humanos, pero difíciles para la IA; una distinción que se remonta a una publicación de Alan Turing de 1950 sobre inteligencia informática. Más recientemente, empresas de seguridad, entre ellas F5, han utilizado la IA para detectar bots, al igual que los creadores de bots han aplicado la IA para eludir la detección y resolver los desafíos CAPTCHA. Con la IA generativa, los vínculos entre los bots y la IA siguen evolucionando: los bots extraen contenido de Internet para alimentar grandes modelos de lenguaje (LLM), mientras que los agentes de IA —en esencia, bots inteligentes— interactúan con las aplicaciones de formas imprevistas. Esta estrecha interrelación entre los bots y la IA también resulta evidente al analizar los 10 principales riesgos y medidas de mitigación de 2025 para los LLM y las aplicaciones de IA generativa.

Sin duda, los bots no son el único medio para explotar las vulnerabilidades de los LLM. La seguridad de los LLM es un ámbito complejo de la ciberseguridad que evoluciona rápidamente, y no quiero simplificar el reto planteando una única causa o solución. No obstante, sabemos que los atacantes casi siempre utilizan bots de una forma u otra para ampliar la escala de los ciberataques, por lo que mitigar los bots elimina una herramienta importante del arsenal de los ciberdelincuentes. Para entender por qué la mitigación de bots es tan relevante para la seguridad de los LLM como para la seguridad web, móvil y de las API, repasemos los 10 principales riesgos de seguridad de OWASP para los LLM en 2025 y analicemos cómo podría utilizar un atacante los bots para explotar cada vulnerabilidad.

1. Inyección de prompts

Un ataque de inyección de prompts busca alterar de forma maliciosa el comportamiento de los LLM, lo que, según OWASP, puede hacer que los modelos «infrinjan las directrices, generen contenido dañino, permitan accesos no autorizados o influyan en decisiones críticas». Para influir en el comportamiento de los modelos mediante prompts, es muy posible que el adversario tenga que inyectar muchos de ellos, inundando el modelo con prompts dañinos para maximizar el daño o dar con uno que logre el resultado deseado. Para introducir una cantidad suficientemente grande de prompts maliciosos, los adversarios necesitarán bots que automaticen el proceso.

2. Divulgación de información sensible

En la carrera por crear LLM que aporten valor empresarial a empleados y clientes, las organizaciones entrenarán modelos con enormes repositorios de datos propios. Sin embargo, estos repositorios pueden contener información confidencial, incluidos datos personales y secretos comerciales. Es casi seguro que los adversarios sondearán estos modelos con la esperanza de revelar esos datos confidenciales. Y, dado que es posible que los adversarios no sepan exactamente qué datos buscan ni cómo formular instrucciones específicas para obtenerlos, podrían recurrir a un enfoque de fuerza bruta y enviar numerosas instrucciones con la esperanza de que alguna revele información confidencial valiosa. Para enviar una gran cantidad de instrucciones a los modelos, los adversarios que quieran ampliar la escala de sus ataques utilizarán bots.

3. Cadena de suministro

Como cualquier sistema de información, los LLM tienen dependencias, como los datos de entrenamiento, los modelos fundacionales y las plataformas de despliegue, lo que significa que los adversarios pueden comprometer un LLM atacando su cadena de suministro. Para comprometer estas dependencias, es probable que los adversarios utilicen bots para manipular almacenes de datos con información falsa, vulneren sistemas de autenticación mediante el relleno de credenciales o proxies de phishing en tiempo real y busquen vulnerabilidades de autorización.

4. Envenenamiento de datos y modelos

En el envenenamiento de datos, los adversarios manipulan los datos de preentrenamiento, ajuste fino o generación de incrustaciones para introducir vulnerabilidades, puertas traseras o sesgos. Según OWASP, «esta manipulación puede comprometer la seguridad, el rendimiento o el comportamiento ético del modelo, lo que puede dar lugar a resultados perjudiciales o a una merma de sus capacidades». Aunque los adversarios pueden emplear muchos métodos para manipular los datos, los bots son una herramienta habitual en numerosos tipos de ataques, desde vulnerar la autenticación o la autorización hasta insertar datos falsos en almacenes de datos a través de aplicaciones que carecen de protección contra bots.

5. Gestión inadecuada de los resultados

La gestión inadecuada de la salida se refiere a la falta de comprobación de si la salida de un modelo LLM podría perjudicar a un sistema que depende de ella. Mientras que las vulnerabilidades de la cadena de suministro y del envenenamiento de datos y modelos se refieren a ataques contra sistemas situados antes del modelo LLM, la gestión inadecuada de la salida afecta a los sistemas posteriores, es decir, a aquellos que dependen de la salida del modelo LLM. Según OWASP, «la explotación con éxito de una vulnerabilidad de gestión inadecuada de la salida puede dar lugar a ataques de secuencias de comandos entre sitios (XSS) y falsificación de solicitudes entre sitios (CSRF) en navegadores web, así como a falsificación de solicitudes del lado del servidor (SSRF), escalada de privilegios o ejecución remota de código en sistemas backend».

Visto de otro modo, el adversario utiliza el LLM para atacar otra aplicación que depende de la salida del LLM. Aunque un atacante puede aprovechar esta vulnerabilidad mediante entradas cuidadosamente elaboradas para una aplicación, también puede intentar llevar a cabo el ataque por fuerza bruta mediante la automatización, probando numerosas variantes hasta encontrar una entrada que genere una salida perjudicial para una aplicación posterior. El sistema automatizado intentará forzar al modelo a generar una salida maliciosa y comprobará si esta ha causado el efecto perjudicial deseado en la aplicación. Para realizar este tipo de sondeo a gran escala, se necesitarán bots.

6. Autonomía excesiva

Agencia excesiva es una forma de escalada de privilegios llevada a cabo mediante un sistema basado en LLM. La vulnerabilidad se debe a que dicho sistema se ejecuta con privilegios elevados, lo que le permite invocar funciones o interactuar con otros sistemas. Es probable que el adversario, al desconocer dónde tiene privilegios elevados el sistema basado en LLM o cómo aprovechar esa escalada, utilice herramientas de automatización para introducir múltiples instrucciones con la esperanza de desencadenar y aprovechar una escalada de privilegios.

7. Filtración del prompt del sistema

Las aplicaciones basadas en LLM suelen proporcionar al modelo instrucciones mediante un prompt del sistema que orientan su comportamiento para cumplir los requisitos de la aplicación. En la práctica, los prompts del sistema pueden contener información confidencial, como cadenas de conexión a bases de datos, código propietario, propiedad intelectual u otros contenidos que las empresas deben mantener protegidos. La filtración del prompt del sistema es, por tanto, una forma específica de inyección de prompts que provoca que una aplicación revele involuntariamente sus instrucciones del sistema.

Conseguir que un LLM revele estos secretos mediante prompts no es tarea fácil, y es casi seguro que los adversarios desarrollarán scripts automatizados para buscar de forma más eficaz datos confidenciales integrados en los prompts del sistema.

8. Vulnerabilidades de vectores e incrustaciones

Las aplicaciones de LLM suelen mejorar los resultados del modelo mediante un contexto enriquecido, que se proporciona a los modelos a través de una técnica denominada generación aumentada por recuperación (RAG). El contenido que se proporciona a los LLM mediante RAG no es texto sin procesar, sino vectores preprocesados con metadatos y contenido integrados. Según OWASP, «las vulnerabilidades en la forma en que se generan, almacenan o recuperan los vectores y las incrustaciones pueden ser aprovechadas mediante acciones maliciosas (intencionadas o no) para inyectar contenido dañino, manipular los resultados del modelo o acceder a información confidencial». En otras palabras, los adversarios pueden atacar el contenido RAG y su procesamiento para comprometer el sistema LLM.

Las empresas implementan sus propios procesos y definen el alcance del contenido RAG para satisfacer las necesidades específicas de su organización, lo que significa que tanto el contenido como sus vulnerabilidades serán exclusivos de cada organización. Desde la perspectiva del adversario, descubrir estas vulnerabilidades no será fácil, por lo que sin duda será necesario realizar una exploración automatizada, es decir, utilizar bots.

9. Desinformación

Cuando los LLM generan información falsa o engañosa, los sistemas que dependen de dicha información pueden funcionar incorrectamente, lo que puede provocar brechas de seguridad, daños reputacionales y responsabilidades legales. Los LLM pueden generar información errónea debido a alucinaciones o a sesgos y carencias en los datos de entrenamiento.

Es probable que los adversarios que pretendan aprovechar las alucinaciones automaticen la introducción de instrucciones y el análisis de las respuestas. Por ejemplo, al automatizar el proceso de generación de código —es decir, al utilizar un LLM para generar numerosas muestras de código informático—, los adversarios pueden encontrar referencias a bibliotecas de software que en realidad no existen. A continuación, pueden crear una biblioteca de software maliciosa en el repositorio de código que el LLM haya inventado. Si el código generado por el LLM no se revisa adecuadamente, la biblioteca maliciosa quedará integrada en el producto publicado.

Del mismo modo, los adversarios pueden utilizar bots para manipular los datos de entrenamiento, introduciendo deliberadamente grandes cantidades de datos destinados a sesgar el modelo.

10. Consumo ilimitado

La décima vulnerabilidad de los LLM según OWASP, consumo sin límites, guarda una estrecha relación con la vulnerabilidad de las API de OWASP denominada consumo de recursos sin restricciones, así como con la amenaza automatizada de OWASP conocida como denegación de servicio. El adversario supera el número previsto de solicitudes hasta tal punto que el servicio de inferencia sufre una denegación de servicio, una degradación del rendimiento y costes excesivos. Según OWASP, «las elevadas exigencias computacionales de los LLM, especialmente en entornos de nube, los hacen vulnerables a la explotación de recursos y al uso no autorizado». Para superar el uso previsto, es casi seguro que los adversarios utilizarán bots para aumentar el volumen de solicitudes.

Implementación de medidas de protección contra bots

Dado que muchas organizaciones se enfrentan a la presión de comercializar rápidamente funcionalidades de IA y que las implicaciones de seguridad de los LLM aún no se comprenden del todo, deberían plantearse implementar medidas de protección contra bots delante de las aplicaciones basadas en LLM, así como de las aplicaciones que suministran datos a los modelos LLM. Cuantos más ataques puedan lanzar los adversarios, mayores serán sus probabilidades de éxito. F5 ofrece un servicio de protección contra bots especialmente eficaz, F5 Distributed Cloud Bot Defense, basado a su vez en IA, que ayuda a las organizaciones a obtener ventaja frente a los adversarios que utilizan bots y automatización para atacar aplicaciones LLM.

Más información sobre Distributed Cloud Bot Defense.

Sobre el autor

Jim Downey

Más artículos de Jim Downey