Hay una pregunta que nos planteamos constantemente en F5: ¿cómo podemos saber realmente si un modelo es seguro? Es una pregunta a la que llevamos tiempo intentando responder, primero con nuestra puntuación del Índice integral de seguridad de la IA (CASI) y, más recientemente, con nuestra Puntuación de resistencia agéntica (ARS). Veamos qué significan estas puntuaciones y por qué ambas son fundamentales para evaluar modelos en entornos reales.
CASI: el punto de referencia de seguridad
CASI lleva ya un tiempo siendo nuestro referente. Ofrece una visión general de la postura de seguridad de un modelo y de su resiliencia frente a un amplio espectro de vulnerabilidades. CASI no se limita a contabilizar las tasas de éxito de los ataques, sino que pondera la gravedad de las brechas exitosas, la complejidad de las vías de ataque y el punto de ruptura de las defensas, en el que las medidas de protección de un modelo empiezan a fallar.
Piensa en CASI como la puntuación que te ayuda a valorar si un modelo es seguro en términos generales en comparación con otros. Es lo que busca la mayoría de la gente cuando dice que quiere un «modelo seguro».
Pero la cuestión es que los adversarios del mundo real no se limitan a lanzar un prompt a un modelo y marcharse. Insisten. Prueban distintas tácticas. Trabajan para alcanzar un objetivo.
ARS: la prueba de resistencia
Ahí es donde entra en juego ARS. ARS no mide la resiliencia teórica, sino que la somete a una prueba de estrés.
En la evaluación AWR, desplegamos nuestros propios agentes de ataque autónomos. Les asignamos cinco objetivos maliciosos centrados en acciones como la exfiltración de datos o la manipulación de sistemas, y les damos vía libre. Nuestros agentes de ataque planifican, iteran y se adaptan. Van adonde sea necesario para alcanzar el objetivo.
También por eso ahora tenemos dos clasificaciones distintas. No fue una decisión de diseño, sino una constatación de la realidad. Algunos modelos que parecen sólidos en CASI se desmoronan ante la presión de los agentes autónomos. Otros se mantienen firmes.
Un caso ilustrativo: Qwen3
Tomemos como ejemplo Qwen3. Lanzado recientemente por Alibaba, es objetivamente un buen modelo. En CASI, quedó en 5.º lugar, lo que lo sitúa holgadamente entre los 10 primeros. Así que es respetable: ni el mejor ni el peor. Para ponerlo en perspectiva, solo el 1 % de los modelos llega siquiera a aparecer en nuestra clasificación CASI. Impresionante, ¿verdad?
Pero Qwen3 ni siquiera consiguió clasificarse en la tabla de clasificación ARS. ¿Por qué? Porque, cuando lo pusimos a prueba frente a cinco intenciones maliciosas —cada una diseñada para representar situaciones realmente graves, como las autolesiones y otras cosas terribles—, falló en todas y cada una de ellas. En otras palabras, no ofreció resistencia alguna.
En comparación, el modelo que encabeza la clasificación ARS es Claude 3.5 Sonnet de Anthropic. De esas mismas cinco intenciones maliciosas, Claude 3.5 resistió tres y fue vulnerable a dos. Por tanto, sigue existiendo un riesgo, pero se ha reducido considerablemente. (Por cierto, Claude 3.5 también fue el modelo mejor clasificado en la clasificación CASI, así que existe cierta correlación).
Veamos qué significa esto en términos prácticos y reales. Si utiliza Qwen3 en un sistema de IA que se conecta a herramientas, almacenes de datos o entradas de usuarios, está exponiendo todo el sistema a vulnerabilidades reales.
Este es el matiz que CASI por sí solo no puede mostrar. Se necesitan ambas perspectivas: CASI para evaluar la postura general de seguridad y ARS para medir la resiliencia del sistema ante un ataque coordinado.
La conclusión
No creamos estas puntuaciones por vanidad. Las creamos porque los atacantes no permanecerán estáticos en un entorno de IA, y tu seguridad tampoco puede hacerlo.
Si eliges un modelo basándote únicamente en su rendimiento —su puntuación MMLU o su velocidad—, estás pasando por alto lo más importante. Así que, la próxima vez que alguien te diga que un modelo es «de última generación», pregúntale: ¿es seguro? Porque, si no lo es, no está listo.
Sobre el autor
James White es un ingeniero y líder empresarial de reconocido prestigio, con casi dos décadas de experiencia en el sector del software empresarial.
Más artículos de James WhiteArtículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]