Seguridad de IA · corte 28 de julio de 2026
Amenazas que los controles clásicos no alcanzan a ver
El hermano incómodo del catálogo de controles. Aquel dice qué se hace; este dice contra qué, por qué falla y qué decisión de gobierno corta primero el riesgo.
- amenazas explicadas
- 15
- de severidad crítica
- 7
- familias de ataque
- 5
- referencia OWASP LLM
- 2025
Los controles de NIST, ISO y CIS suponen un sistema que ejecuta lo que se le programó. Un modelo de lenguaje no hace eso: interpreta texto, y no tiene forma de distinguir del todo una instrucción de un dato. Esa diferencia abre una superficie de ataque que no estaba en ningún marco de 2022, y que en la mayoría de las organizaciones no la vigila nadie porque el sistema lo contrató un área de negocio.
Cada amenaza trae sus defensas técnicas, pero lo primero que aparece en cada ficha es otra cosa: la decisión de gobierno que la corta. Casi siempre es anterior, más barata y más aburrida que el control técnico — y por eso casi nunca se toma.
El modelo no distingue una instrucción de un dato. Todo lo que lee puede volverse una orden.
Se corrompe lo que el modelo aprendió o lo que consulta. El ataque ocurre antes de que alguien pregunte.
Se saca del modelo lo que se supone que no debería salir: datos de entrenamiento, o el modelo mismo.
Se manipula la entrada para que el modelo se equivoque, sin que un humano note nada raro.
Ya no se ataca al modelo: se usa para suplantar a una persona ante otra persona.
Cómo leerlo
7 de las 15 son críticas, y la que más daño hace no es un ataque sino una decisión: la agencia excesiva. Darle a un agente más permisos de los que su tarea necesita convierte cualquiera de las otras catorce en un incidente grave. Bajar esos permisos no cuesta nada y hace la demostración menos impresionante, que es exactamente por qué no se hace.
La referencia entre paréntesis remite al OWASP Top 10 for LLM Applications 2025. Los casos citados vienen de prensa y de literatura académica, y van marcados como sin confirmar: no hay informe forense público de ninguno.
Las tres preguntas que valen por el catálogo
- ¿Con qué credenciales actúa? No qué datos leyó el modelo: con qué permisos ejecutó. Es la pregunta que separa un incidente de una anécdota.
- ¿Quién puede escribir en lo que consulta? La base de conocimiento de un sistema de recuperación es un activo de datos y necesita dueño, política de ingreso y retención, como cualquier otro.
- ¿Qué decisión se toma sin que un humano firme? Si la respuesta incluye pagos, accesos o comunicaciones externas, ahí está el trabajo pendiente.
Los controles clásicos que estas amenazas desbordan están en el catálogo de ciberseguridad; los términos, en el glosario; y las herramientas que dicen cubrir esto, en la capa 9 del stack.