La importancia de gestionar los permisos de los grandes modelos de lenguaje en implementaciones empresariales

F5 Newsroom Staff

Los grandes modelos de lenguaje (LLM), como ChatGPT y Claude, aparecieron a finales de 2022 y principios de 2023, y provocaron una oleada de concienciación sobre el poder de la IA. Muchas empresas reconocieron de inmediato el potencial transformador de esta tecnología, comparable a la llegada de la World Wide Web o de la nube, y trataron de aprovechar su poder sin prestar demasiada atención a la protección o la seguridad. Otras empresas cayeron en una frustrante indecisión, sin saber cómo adaptarse, y algunas simplemente se paralizaron.

Desde su aparición, los LLM han transformado por completo el ecosistema, desde la forma en que las organizaciones planifican sus estrategias de inversión y sus tácticas de mercado hasta la renovación de las operaciones corporativas y la redacción de documentación jurídica. Los propios modelos han seguido evolucionando, pasando de grandes modelos fundacionales públicos, como ChatGPT y Bard, a modelos ajustados y orientados a sectores específicos, como Harvey y BloombergGPT, mientras cada vez más organizaciones ajustan o crean modelos de generación aumentada por recuperación (RAG) y, más recientemente, modelos internos. Este último avance constituye un fenómeno por derecho propio: estos modelos internos se entrenan con datos propios para realizar tareas específicas dentro de una organización, un departamento o un equipo.

El proceso RAG consiste en introducir en el modelo datos específicos de la empresa —por ejemplo, documentación jurídica, registros de atención al cliente o campañas de marketing—, entrenarlo para que identifique y analice patrones y otros contenidos, realizar iteraciones hasta alcanzar los umbrales de rendimiento y, a continuación, utilizarlo para el fin previsto. El uso de modelos RAG internos y de modelos ajustados permite aplicar controles de acceso basados en políticas (PBAC), de modo que solo el personal autorizado pueda interactuar con el modelo y sus datos. Del mismo modo que las organizaciones utilizan Active Directory y otros sistemas de gestión de permisos para segmentar y controlar el acceso a los datos, el acceso a la información y a los modelos puede segmentarse por equipos o personas en función de las políticas de la empresa, las necesidades del negocio u otros criterios específicos de la organización. A medida que siga aumentando el uso de modelos de IA en toda la empresa, la gestión de permisos continuará siendo un elemento importante de las operaciones empresariales, así como un factor crítico para la seguridad de los LLM.

• Proteger los datos sensibles, la propiedad intelectual, la documentación legal, la información de identificación personal (PII) y otros contenidos confidenciales resulta más fácil cuando el acceso a dicha información se concede únicamente a empleados u otras personas debidamente autorizadas. Los riesgos de robo de datos disminuyen a medida que aumentan las capas de seguridad. 
• Lograr, supervisar y mantener el cumplimiento de las normativas de privacidad y seguridad de los datos, los estándares del sector, como los relativos a la toma de decisiones automatizada, las políticas de uso aceptable de la empresa, y otras directrices resulta más sencillo cuando se trabaja con grupos más pequeños y requisitos específicos o diversos. 
• Dado que las estructuras de costes asociadas al uso de modelos seguirán fluctuando hasta estabilizarse, la asignación de recursos ocupa un lugar destacado entre las ventajas que ofrece la gestión de permisos de los modelos. Limitar el número de equipos o empleados que tienen acceso a un modelo permite controlar de forma eficiente el uso de los recursos informáticos y adaptar las licencias, suscripciones o puestos de usuario a las necesidades de la organización, algo que cobra especial importancia cuando se utilizan varios modelos. 
• La capacidad de personalizar las acciones o actividades de los modelos en función de casos de uso específicos o grupos de usuarios agiliza su funcionamiento, mientras que la posibilidad de personalizar los filtros y la sensibilidad del escáner permite adaptar las respuestas a las necesidades de la organización.

Saber que disponen de la capacidad para implementar un PBAC sólido en modelos de inteligencia artificial generativa (GenAI) supone un enorme alivio para las organizaciones que aún tienen dificultades para determinar qué modelos —y qué tipos de modelos— necesitan, así como la forma de implantarlos y protegerlos en toda la empresa. Este componente esencial y ampliamente conocido de la infraestructura de seguridad de una organización limita las posibles vulnerabilidades de seguridad al minimizar el acceso innecesario a datos confidenciales y reduce el riesgo de amenazas internas. Los sistemas de gestión de identidades y accesos (IAM) y las herramientas de gestión de roles que centralizan la autenticación, la autorización y la auditoría de los usuarios son fundamentales para implementar eficazmente el PBAC. 

Sin embargo, también debe tenerse en cuenta el riesgo de proliferación tecnológica, que se produce cuando demasiadas aplicaciones y dispositivos de un sistema no se integran bien o no se integran en absoluto, ya que puede crear vulnerabilidades donde antes no las había. Implementar una solución integral de seguridad para LLM, como F5 AI Runtime Security, que funcione como una capa de confianza envolvente y abarque todos los modelos utilizados en la empresa es el eslabón que falta en un despliegue típico de múltiples LLM. Nuestra solución, única, escalable e independiente del modelo, no añade «peso» a la infraestructura y se integra a la perfección con los mecanismos de seguridad existentes. Además, permite asignar permisos granulares a grupos y personas de toda la organización sin aumentar los costes de computación ni introducir latencia en los modelos. 

A medida que el uso de modelos avanzados de IA generativa, como los LLM, se generaliza y diversifica cada vez más en las organizaciones, la seguridad debe integrarse desde las primeras fases de la implantación. La gestión de permisos mediante IAM y PBAC debe considerarse prioritaria como medio esencial para mitigar los riesgos y, al mismo tiempo, mejorar la productividad, la innovación y la ventaja competitiva.

Sobre el autor

F5 Newsroom Staff

Más artículos de F5 Newsroom Staff