A medida que se acelera la adopción de la IA en las empresas, la evaluación de los LLM ya no se centra únicamente en el rendimiento, sino también en la confianza. Los equipos de seguridad deben validar no solo el rendimiento de un modelo, sino también la seguridad de su comportamiento. Sin embargo, la mayoría de los marcos de evaluación se centran en parámetros de precisión, por lo que los factores de seguridad y riesgo quedan definidos de forma imprecisa o sin medir.
Esta falta de claridad es peligrosa. Sin métricas de seguridad explicables y comparables, no hay una forma fiable de comparar modelos, demostrar su resiliencia ni tomar decisiones ajustadas al riesgo sobre cómo y dónde debe implementarse la IA.
En F5, llevamos muchos meses trabajando con responsables de seguridad empresarial que han expresado reiteradamente una misma preocupación: «Tenemos que explicar a las partes interesadas internas qué significa una puntuación, cómo se ha calculado y qué podemos hacer para mejorarla».
Este artículo analiza cómo generar esa confianza mediante la comprensión de las dos puntuaciones complementarias que ahora constituyen la base de la evaluación segura de la IA generativa: el Índice Integral de Seguridad de la IA (CASI) y la Puntuación de Resistencia Agéntica (ARS).
El problema actual de la «puntuación» de la seguridad de la IA
Cuando las empresas prueban modelos de IA, suelen obtener o bien un resultado binario: ¿el modelo ha fallado o no? O bien una evaluación de riesgos imprecisa: bajo/medio/alto, con pocos detalles.
Ninguno de los dos enfoques resulta adecuado cuando los sistemas de IA pasan a producción y empiezan a interactuar con datos sensibles, usuarios externos o agentes posteriores.
Los responsables de seguridad necesitan algo más que las tasas de éxito de los ataques: necesitan visibilidad sobre:
- Gravedad: ¿Hasta qué punto es peligroso un ataque exitoso?
- Complejidad: ¿Hasta qué punto es difícil explotar el modelo?
- Contexto: ¿Falla en situaciones reales, en interacciones de varios turnos o al utilizarse en aplicaciones?
F5 desarrolló sistemas de puntuación para abordar las distintas capas de seguridad de los sistemas de IA. Estos sistemas se ajustaron a marcos de seguridad consolidados que analizan el riesgo empresarial.
Alineación de la puntuación con el riesgo empresarial
Los marcos y estándares del sector pueden ayudar a las organizaciones a evaluar los riesgos de la IA, comprender las posibles vulnerabilidades y establecer enfoques más coherentes en materia de gobernanza y seguridad. Algunos ejemplos son el OWASP Top 10 for LLM Applications, el NIST AI Risk Management Framework y la norma ISO/IEC 42001, cada uno de los cuales aborda los riesgos de la IA desde una perspectiva diferente.
Top 10 de OWASP para aplicaciones de LLM
La fundación sin ánimo de lucro OWASP (Open Worldwide Application Security Project) publica una lista de las 10 principales amenazas para las aplicaciones de LLM, según la evaluación de los miembros de la comunidad. La clasificación pretende reflejar tanto el impacto como la probabilidad de los riesgos, aunque los votos de los profesionales no reflejan necesariamente la prevalencia de los ataques en el mundo real. Por tanto, aunque los profesionales consideran que la inyección de prompts es el principal riesgo para las aplicaciones de LLM, no se encontraría entre los 10 incidentes más frecuentes en el mundo real.
Marco de Gestión de Riesgos de IA del NIST
En 2023, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó un Marco de Gestión de Riesgos de la Inteligencia Artificial (AI RMF) que ofrece orientación práctica para gestionar los riesgos relacionados con la IA.
Como parte de sus buenas prácticas para la gestión de riesgos, el marco evalúa el comportamiento de los modelos en función de las características de una IA «fiable» y las dimensiones del «daño». Por ejemplo, un sistema de IA podría considerarse arriesgado si no ofrece resultados precisos e imparciales (dos de las siete medidas de fiabilidad) y si existe la posibilidad de que perjudique a personas, organizaciones o a la sociedad (las tres dimensiones del daño). Los distintos niveles de fiabilidad y daño requieren medidas diferentes.
ISO/IEC 42001:2023
La Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) publicaron conjuntamente una norma para gestionar los sistemas de IA de forma responsable, centrada en la gobernanza a nivel empresarial, la rendición de cuentas y los controles operativos. Al evaluar los riesgos, la norma anima a las organizaciones a analizar cómo las vulnerabilidades de la IA, los fallos éticos o los errores operativos podrían afectar a los objetivos de la organización, la seguridad o las obligaciones sociales. Las organizaciones deben evaluar la probabilidad y el impacto de los riesgos mediante una puntuación (utilizando una escala del uno al cinco). Un riesgo con pocas probabilidades de provocar un fallo técnico recibiría una puntuación baja, mientras que uno que pudiera dar lugar a un incumplimiento normativo recibiría una puntuación alta. A continuación, el riesgo total calculado se compararía con los criterios de aceptación de riesgos de la organización.
Es importante destacar que ninguno de estos tres marcos ofrece una calificación binaria de aprobado o suspenso. Todos evalúan la gravedad potencial de los riesgos y su impacto. Del mismo modo, F5 puntúa los LLM de forma pormenorizada, lo que permite a los responsables comparar con mayor precisión los modelos y su capacidad para resistir amenazas.
CASI: el ADN de seguridad de un modelo
El Índice Integral de Seguridad de la IA (CASI) ayuda a los equipos a aplicar criterios de seguridad más rigurosos en su proceso de evaluación de LLM al medir otros aspectos además del éxito de los jailbreaks. CASI puntúa los modelos fundacionales en una escala de 0 a 100 teniendo en cuenta:
- Gravedad del impacto: No todos los fallos son iguales. Revelar credenciales es peor que responder preguntas de cultura general.
- Complejidad del ataque: Los modelos que fallan ante formulaciones sencillas no son tan seguros como aquellos que requieren estrategias adversarias avanzadas.
- Punto de ruptura defensivo: ¿Con qué rapidez y en qué condiciones se desmorona el alineamiento de un modelo?
Esto permite a los equipos de seguridad elegir modelos con una gran resiliencia, no solo aquellos que superan pruebas sencillas.
Por ejemplo, el modelo Qwen3 de Alibaba obtuvo una puntuación competitiva en CASI, lo que sugiere que cuenta con sólidas defensas a nivel de modelo. Sin embargo, al someterlo a pruebas con métodos basados en agentes, no logró resistir ataques más sofisticados y persistentes. Esto pone de manifiesto las limitaciones de evaluar únicamente el modelo.
Estos resultados se publican en F5 Labs, un recurso público que se actualiza periódicamente y clasifica los LLM más utilizados basándose en pruebas de red teaming en situaciones reales. A diferencia de las tablas de rendimiento convencionales, esta clasificación ayuda a las empresas a comparar modelos en términos de seguridad, riesgo, coste y resiliencia a nivel de sistema, lo que la convierte en una herramienta fundamental para evaluar los LLM con conocimiento de causa.
ARS: Cuando los modelos se convierten en sistemas
Aunque CASI mide la resiliencia del modelo fundacional, no tiene en cuenta el comportamiento a nivel de sistema. Ahí es donde entra en juego la puntuación de resistencia agéntica (ARS).
ARS mide la capacidad de un sistema de IA (incluidos los agentes, las herramientas de recuperación o las capas de orquestación) para resistir ante ataques persistentes y adaptativos. Estas pruebas las llevan a cabo agentes adversarios autónomos que:
- Aprenden de los intentos fallidos
- Encadena ataques a lo largo de varios turnos
- Ataca prompts ocultos, almacenes vectoriales y la lógica de recuperación
Con una puntuación de 0 a 100, ARS se articula en torno a tres dimensiones:
- Sofisticación necesaria: ¿Qué nivel de habilidad necesita tener el atacante?
- Resistencia defensiva: ¿Cuánto tiempo puede resistir el sistema?
- Contrainteligencia: ¿El sistema revela pistas útiles para un ataque incluso cuando bloquea la amenaza inicial?
Una puntuación ARS más alta significa que su sistema de IA no solo es seguro de forma aislada, sino que también puede resistir ataques contextuales y agénticos que imitan los que los actores de amenazas reales ya están probando en entornos reales.
Resistencia frente a vulnerabilidades del mundo real
Los modelos CASI y ARS analizan la resistencia frente a amenazas del mundo real. Mientras que CASI mide la resistencia a amenazas como la inyección de instrucciones o los ataques de jailbreak, ARS evalúa la resistencia a ataques de varios pasos, como aquellos en los que se induce a los agentes a realizar acciones sin la debida autorización.
Estas puntuaciones, que se publican en clasificaciones mensuales, reflejan las últimas actualizaciones de los modelos. Por ejemplo, Claude Fable 5 de Anthropic apareció por primera vez en la clasificación en agosto de 2026, después de que la empresa abordara una grave amenaza de jailbreak.
Los ataques de jailbreak, que son un tipo de inyección de instrucciones, consisten en manipular un modelo para que infrinja sus propios protocolos de seguridad. Cuando Anthropic lanzó inicialmente Claude Fable 5 en junio de 2026, los investigadores descubrieron rápidamente que se podían eludir las restricciones del modelo. Anthropic suspendió temporalmente el modelo para volver a entrenar su clasificador de seguridad. El trabajo dio resultado: posteriormente, la técnica descrita por los investigadores fue bloqueada en más del 99 % de los casos. Como consecuencia, el modelo obtuvo uno de los primeros puestos en la clasificación CASI a partir de agosto y alcanzó una puntuación de 98,03 en septiembre.
Por supuesto, las nuevas actualizaciones no garantizan una mayor resistencia frente a las amenazas. Grok 4.3 de xAI obtuvo una puntuación CASI de 70,28. Sin embargo, la de Grok 4.5 cayó a 45,20, pese a que aumentó la puntuación de capacidad de la nueva versión.
Por qué los responsables de seguridad necesitan CASI y ARS
Los responsables de seguridad que evalúan implementaciones de IA, especialmente aquellas que incluyen arquitecturas RAG, agentes autónomos o flujos de trabajo de orquestación complejos, necesitan una visión de la confianza basada en varias capas. CASI ayuda a elegir una base. Permite determinar si las defensas integradas de un modelo son lo suficientemente sólidas para aplicaciones empresariales. ARS valida la implementación. Permite comprobar si los flujos de trabajo personalizados o los sistemas integrados introducen nuevas vulnerabilidades, incluso cuando el modelo base obtiene una buena puntuación.
La transparencia impulsa la capacidad de actuación
La puntuación no resulta útil si no sirve para tomar decisiones. Los responsables de seguridad nos dicen que necesitan:
- Metodologías de puntuación explicables que puedan compartirse con los comités de riesgos y los equipos de producto.
- Indicadores numéricos claros que se pueden comparar, supervisar y mejorar.
- Pruebas de equipo rojo adaptadas a la aplicación que revelan debilidades a nivel de sistema (no solo fallos del modelo).
Por eso publicamos las metodologías de puntuación, incluimos registros detallados de cada prompt en los informes de red teaming y facilitamos pruebas de seguridad continuas tanto en los modelos como en los sistemas de IA.
La confianza en la IA no nace de garantías imprecisas, sino de una evaluación que refleje el riesgo real, de pruebas que reproduzcan amenazas reales y de informes que conduzcan a mejoras reales.
La confianza se construye, no se proclama
La IA solo es tan fiable como el proceso que se utiliza para evaluarla y supervisarla. Una puntuación de seguridad transparente, tanto a nivel del modelo como del sistema, proporciona a los equipos de seguridad el lenguaje, las pruebas y la confianza que necesitan para implementar la IA generativa de forma segura.
Y para las empresas que operan en sectores regulados, ámbitos de alto riesgo o con agentes de IA orientados al usuario, esa confianza es imprescindible.
Preguntas frecuentes
¿Qué es una plataforma de seguridad de IA y por qué la ciberseguridad convencional no basta para proteger los sistemas de IA?
Las soluciones de ciberseguridad convencionales pueden proteger eficazmente los datos, las aplicaciones y las redes. Sin embargo, no están diseñadas para hacer frente a los tipos específicos de amenazas que afectan a los sistemas y agentes de IA. Una plataforma de seguridad de IA incorpora funciones específicas para proteger las aplicaciones, los servicios, los modelos y los agentes de IA frente al acceso no autorizado, la manipulación, los ataques maliciosos y otras amenazas.
¿Cómo se alinean los modelos de puntuación de seguridad como CASI y ARS con marcos como el NIST AI RMF?
Marcos como el Marco de Gestión de Riesgos de la Inteligencia Artificial (AI RMF) del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ofrecen directrices para evaluar y gestionar los riesgos y la fiabilidad de la IA. Del mismo modo, el Índice Integral de Seguridad de la IA (CASI) y la Puntuación de Resistencia Agéntica (ARS) de F5 proporcionan métricas cuantitativas de seguridad que pueden ayudar a las organizaciones a evaluar la resiliencia de los modelos y sistemas.
¿Cuál es la diferencia entre proteger un modelo de IA y proteger un sistema de IA?
Proteger un modelo de IA ayuda a garantizar que no genere respuestas inexactas o perjudiciales, que podrían deberse al envenenamiento de datos, a inyecciones directas de prompts o a otras acciones maliciosas. Proteger un sistema de IA implica proteger no solo el modelo, sino también cualquier otro elemento conectado a él, como la interfaz de usuario, una base de datos vectorial o integraciones con API externas. Esta protección puede centrarse en prevenir inyecciones indirectas de prompts, el secuestro de API, la exfiltración de datos o los ataques de escalada de privilegios.
¿Cómo evitan las medidas de protección en tiempo de ejecución las filtraciones de datos y la inyección de instrucciones?
Las medidas de protección en tiempo de ejecución evitan las filtraciones de datos y la inyección de instrucciones al inspeccionar y proteger las interacciones con la IA en tiempo real durante la actividad de usuarios, agentes y API. Pueden impedir las filtraciones de datos y la inyección de instrucciones inspeccionando tanto las instrucciones entrantes como las respuestas salientes. Guardrails bloquea los intentos de inyección de instrucciones y garantiza que ningún dato confidencial entre en el modelo ni salga de él.
¿Por qué la evaluación del LLM base es insuficiente para las arquitecturas RAG y de IA agéntica?
Evaluar los modelos de lenguaje de gran tamaño (LLM) es fundamental para ayudar a las organizaciones a sentar las bases de la IA. Sin embargo, también necesitan saber cómo funcionarán esos modelos en sistemas que incorporan generación aumentada por recuperación (RAG) y agentes autónomos. Un marco como F5 Agentic Resistance Score (ARS) permite a las organizaciones comprender mejor si los flujos de trabajo personalizados o los sistemas integrados generarán nuevas vulnerabilidades.
Sobre el autor
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]