¿Qué es la seguridad de los LLM?
La seguridad de los modelos de lenguaje de gran tamaño (LLM) hace referencia a las políticas, los controles y las tecnologías que se utilizan para proteger los modelos fundacionales, los datos subyacentes de entrenamiento e inferencia y las aplicaciones empresariales que dependen de ellos. La seguridad de los modelos de lenguaje de gran tamaño abarca todo su ciclo de vida, desde la forma en que se entrenan y ajustan hasta cómo procesan las entradas y generan resultados en producción.
Comprender la seguridad de los LLM
Los LLM responden a entradas de lenguaje natural no estructuradas y generan resultados que pueden variar incluso ante una misma instrucción; esta propiedad se conoce como no determinismo. Este carácter no determinista hace que la seguridad de los LLM sea una cuestión crítica para las organizaciones que gestionan datos sensibles, operan en sectores regulados o dependen de la automatización basada en IA. Sin las medidas de protección adecuadas, las aplicaciones de LLM pueden exponer a las empresas a filtraciones de datos, incumplimientos normativos, pérdidas de propiedad intelectual y nuevas técnicas de ataque, como la inyección de instrucciones.
Las empresas están adoptando los LLM a un ritmo sin precedentes para gestionar directamente datos confidenciales de clientes, redactar comunicaciones de marca destinadas al público y mucho más. Sin los controles adecuados, los LLM pueden ser objeto de ataques basados en el lenguaje, filtrar información confidencial o generar resultados inseguros que provoquen daños operativos o reputacionales. Las empresas están poniendo en producción herramientas integradas basadas en modelos fundacionales más rápido de lo que implementan controles para protegerlas. Además, el auge de la IA agéntica, que ejecuta acciones, llamadas a herramientas y comunicaciones sin intervención humana explícita, ha introducido un nuevo perfil de riesgo más elevado.
¿Por qué es importante la seguridad de los LLM?
La seguridad es fundamental porque los LLM influyen en las decisiones, automatizan tareas e interactúan directamente con los usuarios. La seguridad de las aplicaciones basadas en LLM considera los modelos como componentes de alto riesgo. Protegerlos requiere una evaluación continua, en lugar de pruebas puntuales; los equipos deben garantizar que los modelos se comporten de forma segura y predecible a medida que evoluciona su uso. Las normativas emergentes, como el Reglamento de Inteligencia Artificial de la UE, exigen que las organizaciones implementen medidas de gestión de riesgos, registro y supervisión humana para los sistemas de IA, lo que convierte la seguridad de los LLM en un requisito de cumplimiento normativo y no solo en una buena práctica técnica.
Además de las medidas de gobernanza adicionales, como la supervisión, la auditoría y la intervención humana, la seguridad de los LLM abarca cuatro áreas principales:
- Protección de los datos de entrenamiento e inferencia
- Preservación de la integridad del modelo
- Control de las entradas y salidas
- Protección de los entornos de despliegue y las API
Protección de los datos de entrenamiento e inferencia
Envenenamiento de datos de entrenamiento y canalizaciones seguras
Los LLM aprenden a partir de enormes conjuntos de datos y componentes de terceros. Si los datos de entrenamiento o ajuste fino se alteran de forma malintencionada, los modelos pueden aprender comportamientos sesgados, puertas traseras ocultas o respuestas poco seguras. Los datos de entrenamiento y ajuste fino determinan directamente el comportamiento del modelo. El uso de conjuntos de datos no verificados o gestionados de forma deficiente aumenta el riesgo de envenenamiento de datos, sesgos y memorización involuntaria de información sensible.
Entre las mejores prácticas se incluyen obtener datos de repositorios de confianza, mantener un control de versiones, documentar el linaje de los datos y auditar los cambios a lo largo del tiempo. Una gobernanza de datos sólida favorece tanto la seguridad de los LLM como el cumplimiento normativo. Garantizar la seguridad de los modelos de lenguaje de gran tamaño implica validar las fuentes de datos, mantener su procedencia y evaluar continuamente las dependencias del modelo.
Divulgación de información sensible y fuga de datos
Los LLM pueden revelar involuntariamente información sensible o confidencial aprendida durante el entrenamiento o proporcionada mediante instrucciones y ventanas de contexto, incluidos datos de identificación personal (PII), credenciales o datos empresariales confidenciales. Evitar las filtraciones de datos es fundamental para la seguridad de los LLM, especialmente en entornos regulados donde los incumplimientos normativos conllevan graves consecuencias.
Preservación de la integridad del modelo
Seguridad de la cadena de suministro, componentes de confianza y SBOM
Las aplicaciones de LLM suelen depender de modelos de terceros, bibliotecas de código abierto, complementos y API externas. Cada dependencia aumenta los posibles riesgos para la cadena de suministro. Los modelos de código abierto o los complementos comprometidos también suponen un riesgo para la cadena de suministro. Cada componente externo utilizado constituye otro posible punto de entrada para los agentes maliciosos.
Mantener un inventario de componentes mediante una lista de materiales de software (SBOM), realizar revisiones de seguridad periódicas y supervisar la aparición de vulnerabilidades ayuda a las organizaciones a reducir la exposición a dependencias comprometidas u obsoletas.
Control de entradas y salidas: inyección directa e indirecta de prompts
Los ataques de inyección directa de instrucciones consisten en que los atacantes elaboran expresamente una entrada diseñada para anular las instrucciones del sistema o manipular el comportamiento de un modelo mediante instrucciones del usuario.
La inyección indirecta de instrucciones se produce cuando un atacante inserta instrucciones maliciosas en contenido externo, como documentos o páginas web. Los LLM están diseñados para seguir instrucciones, y la inyección de instrucciones se aprovecha directamente de ello introduciendo en el sistema de entrada instrucciones difíciles de distinguir. Dado que los LLM priorizan la comprensión del lenguaje, la inyección de instrucciones puede eludir las medidas de seguridad, exponer datos confidenciales o desencadenar acciones no deseadas.
Para mitigar este riesgo, todas las entradas de los LLM, incluidos los prompts de usuario, los documentos recuperados, el contexto del sistema y los metadatos, deben restringirse y depurarse cuidadosamente. El control de la superficie de entrada reduce la exposición a la inyección de prompts, los ataques indirectos mediante prompts y las instrucciones maliciosas integradas en contenido externo. Entre las prácticas recomendadas habituales se incluyen permitir únicamente fuentes de datos de confianza, eliminar instrucciones ocultas o caracteres no imprimibles, limitar la longitud y la complejidad de los prompts y aislar las entradas de usuario de los prompts del sistema.
Gestión y validación inseguras de las salidas
Gestión insegura de las salidas se produce cuando las aplicaciones ejecutan o muestran directamente las salidas del modelo sin validarlas ni depurarlas. Si un modelo genera código malicioso, comandos dañinos o contenido engañoso y la aplicación lo ejecuta sin comprobarlo, las organizaciones pueden sufrir ataques XSS (secuencias de comandos entre sitios), la ejecución de comandos no autorizados en el sistema o que los usuarios actúen basándose en información falsa.
Nunca se debe confiar ciegamente en los resultados generados por los LLM. El texto, el código, las consultas o los comandos generados deben validarse antes de ejecutarlos, almacenarlos o mostrarlos a los usuarios. Las empresas deben aplicar filtros de contenido, validación de esquemas y comprobaciones adaptadas al contexto para garantizar que los resultados cumplan los requisitos de seguridad y las políticas establecidas.
Supervisión, comprobaciones de resultados y límites de confianza
A pesar de los avances en IA, el criterio humano sigue siendo esencial. Una dependencia excesiva de los resultados de los LLM puede aumentar los errores, las invenciones o las decisiones poco seguras. Las empresas deben exigir revisiones con intervención humana para los casos de uso sensibles, ofrecer formación sobre el uso adecuado de los LLM y definir claramente cuándo deben las personas validar las decisiones automatizadas.
Protección de los entornos de despliegue y las API
Autonomía, dependencia excesiva y uso con privilegios mínimos
Otorgar una independencia excesiva a los LLM, como la capacidad de activar flujos de trabajo o tomar decisiones sin supervisión, aumenta el riesgo de errores y usos indebidos. La independencia de los LLM sin intervención humana puede desencadenar una serie de consecuencias imprevistas en el mundo real. Tanto la autonomía de los LLM como la dependencia excesiva se ven amplificadas con la IA agéntica. En estos casos, los atacantes podrían utilizar indebidamente los LLM para llevar a cabo ataques de phishing, aplicar técnicas de ingeniería social o generar código malicioso, lo que agravaría las amenazas.
Para protegerse frente a este riesgo, los agentes y complementos de los LLM deben operar conforme al principio de mínimo privilegio. Los modelos solo deben tener acceso a los datos, las herramientas y las acciones necesarios para desempeñar la función prevista. Las operaciones de alto riesgo, como ejecutar código, modificar registros o iniciar transacciones, deben requerir una aprobación explícita o una validación adicional definida y aplicada por la infraestructura.
Ataques de denegación de servicio (DoS), agotamiento de recursos y robo de modelos
Los endpoints de los LLM son activos costosos que consumen muchos recursos. Los atacantes pueden aprovecharse de ellos enviando grandes volúmenes de prompts que los saturan de tráfico y aumentan los costes. Unos controles de acceso deficientes también pueden facilitar el robo de modelos o su replicación no autorizada. Sin controles o límites de acceso sólidos y estructurados, un atacante puede consultar un modelo y replicar su comportamiento sin acceder al backend. En los ataques de denegación de cartera, los actores maliciosos saturan los endpoints con consultas que consumen una gran cantidad de tokens para agotar rápidamente el presupuesto de una organización destinado a servicios en la nube o API, sin provocar la caída del servicio de IA.
Supervisión, registro y respuesta ante incidentes
La supervisión continua de las instrucciones, los resultados, los patrones de uso y el rendimiento permite detectar de forma temprana usos indebidos, anomalías o amenazas emergentes. El registro de eventos facilita el análisis forense y el cumplimiento de los requisitos normativos. Normativas como el Reglamento de Inteligencia Artificial de la UE exigen la trazabilidad y el análisis posterior a los incidentes en determinados sistemas de IA, por lo que el registro y la supervisión son esenciales tanto para el cumplimiento normativo como para la seguridad. Las organizaciones también deben establecer procedimientos de respuesta ante incidentes específicos para eventos relacionados con los LLM, a fin de garantizar una contención y una corrección rápidas cuando surjan problemas.
Principales riesgos de seguridad y vulnerabilidades de los LLM
Los grandes modelos de lenguaje y sus aplicaciones presentan un perfil de riesgo muy diferente al de las aplicaciones tradicionales. El Top 10 de OWASP para aplicaciones basadas en LLM se centra en riesgos específicos de la IA, como la inyección de instrucciones, la gestión insegura de los resultados, el envenenamiento de los datos de entrenamiento, la divulgación de información confidencial, la autonomía excesiva y la denegación de servicio del modelo. A diferencia del Top 10 tradicional de OWASP, que se centra en vulnerabilidades de las aplicaciones web, como los fallos en el control de acceso y las vulnerabilidades de inyección, la versión para LLM aborda los riesgos derivados de las entradas en lenguaje natural, el comportamiento del modelo, las herramientas externas y la autonomía de la IA. Estas amenazas incluyen la inyección de instrucciones, la gestión insegura de los resultados, el envenenamiento de los datos de entrenamiento, la divulgación de información confidencial, la autonomía excesiva del modelo y la denegación de servicio mediante el agotamiento de recursos. El marco considera los LLM componentes de gran impacto que requieren una gobernanza específica, una supervisión continua y protecciones multicapa acordes con los estándares modernos de aplicaciones y API.
Reconocer estas categorías ayuda a las empresas a diseñar medidas de mitigación específicas que se ajusten a las prácticas modernas de seguridad de aplicaciones y API, y que aborden el alcance particular de la seguridad de los LLM.
Mejores prácticas de seguridad para los LLM
Dado que los LLM interactúan mediante lenguaje natural, generan resultados dinámicos y suelen integrarse con sistemas sensibles, los controles de seguridad tradicionales por sí solos no son suficientes.
Las prácticas recomendadas para garantizar la seguridad de los LLM combinan salvaguardas técnicas, procesos de gobernanza y supervisión humana. Las organizaciones deben asumir que las instrucciones pueden manipularse, las respuestas pueden utilizarse de forma indebida y las dependencias pueden verse comprometidas.
El objetivo no es eliminar el riesgo, sino reducir la probabilidad y el impacto de los fallos, al tiempo que se posibilita una innovación segura a gran escala.
Las empresas necesitan una visibilidad continua de la composición de riesgos de cada modelo de IA que adoptan. Esto implica cotejar continuamente los modelos desplegados con bibliotecas actualizadas de vulnerabilidades de IA para comprender qué amenazas introduce cada modelo en el entorno. El Índice Integral de Seguridad de la IA (CASI) de F5 es una de las bibliotecas de vulnerabilidades de IA más amplias y actualizadas con mayor frecuencia, lo que proporciona a las organizaciones una visión coherente y actualizada del riesgo asociado a cada modelo.
¿Cómo protege F5 los LLM?
Las aplicaciones basadas en LLM deben integrarse en las prácticas de desarrollo seguro, en lugar de tratarse como sistemas independientes. Al igual que las API y los microservicios, los modelos deben contar con control de versiones y de acceso, someterse a pruebas e implementarse mediante canalizaciones reguladas de integración y entrega continuas (CI/CD), de modo que los cambios puedan rastrearse, auditarse y revertirse. F5 mejora la entrega de aplicaciones y los controles de seguridad para las cargas de trabajo de LLM, garantizando una aplicación coherente de las políticas en entornos híbridos y multinube.
La F5 AI Security Platform protege y controla los modelos, las aplicaciones y los agentes de IA, así como las API que los conectan, mediante un ciclo continuo de evaluación y mitigación de riesgos que permite a los clientes mantener el control. Desde la gobernanza de la IA hasta la protección de la IA en tiempo de ejecución, la AI Security Platform ofrece observabilidad de la IA desde el proceso de ingesta hasta la salida mediante F5 AI Guardrails, F5 AI Red Team y mucho más.
F5 BIG-IP y Servicios de F5 Distributed Cloud ayudan a las organizaciones a proteger las API de los LLM mediante la gestión del tráfico, el control de acceso y la inspección. Funciones como la detección de API, la autenticación, la limitación de solicitudes y la mitigación de bots protegen los endpoints de los LLM frente al uso indebido, los ataques de denegación de servicio (DoS) y los ataques automatizados. Estas medidas evitan el agotamiento de los recursos y bloquean el acceso no autorizado a costosos servicios de inferencia.
F5 Distributed Cloud Web App and API Protection (WAAP) mejora la seguridad de los LLM mediante la detección de ataques de inyección, prompts maliciosos y patrones de solicitud inusuales. Supervisa el tráfico para detectar actividades anómalas e identificar inyecciones de prompts, exfiltraciones de datos o usos indebidos de las funciones de sistemas basados en LLM.
F5 BIG-IP SSL Orchestrator permite descifrar e inspeccionar el tráfico cifrado en entornos con datos confidenciales o sistemas externos, lo que permite a las herramientas de seguridad detectar amenazas ocultas. Esta visibilidad es fundamental para supervisar las entradas y salidas de los LLM en producción sin afectar al rendimiento.
Servicios de nube distribuida ofrecen gestión centralizada de políticas, observabilidad y aplicación de medidas en entornos híbridos y multinube. Los equipos de seguridad obtienen una visibilidad uniforme del tráfico, las anomalías y las métricas de los LLM, lo que permite detectar las amenazas y responder a ellas con mayor rapidez. La integración de los LLM en las arquitecturas existentes evita la creación de silos de IA aislados. F5 proporciona una seguridad de IA escalable y resiliente que se adapta a las necesidades empresariales y las amenazas en constante evolución, aplicando principios de defensa en profundidad a las cargas de trabajo de IA.
Seguridad de los LLM: preguntas frecuentes
¿Cuáles son los principales riesgos asociados a la seguridad de los LLM?
La inyección de prompts, la filtración de datos, la gestión insegura de los resultados, el envenenamiento de los datos de entrenamiento y una autonomía excesiva son riesgos habituales.
¿Cómo pueden las empresas mejorar la seguridad de los LLM?
Las empresas pueden reforzar la seguridad de los LLM mediante la aplicación de controles por capas, como el filtrado de entradas, la validación de salidas, el acceso con privilegios mínimos y la supervisión.
¿En qué se diferencia el Top 10 de OWASP para aplicaciones de LLM del Top 10 tradicional de OWASP sobre riesgos web?
El OWASP Top 10 tradicional se diseñó para la seguridad de las aplicaciones web y abarca riesgos como la inyección, los fallos de autenticación y las configuraciones incorrectas. El OWASP Top 10 para aplicaciones con LLM aborda riesgos relacionados con el lenguaje natural, el comportamiento no determinista y otros riesgos no tradicionales en la web (inyección de prompts, gestión insegura de las salidas, envenenamiento de los datos de entrenamiento, etc.).
¿Se pueden utilizar los LLM para la ciberdefensa?
Sí. Los LLM se utilizan habitualmente para automatizar el análisis de amenazas, analizar registros de seguridad y agilizar la clasificación y la respuesta.