OWASP LLM Top 10
El OWASP LLM Top 10 es la lista estándar de la industria de los 10 riesgos de seguridad y protección más críticos para aplicaciones construidas sobre modelos de...
6 min de lectura
OWASP LLM Top 10
AI Security
+3
La seguridad de LLM es la disciplina especializada de proteger las aplicaciones construidas sobre modelos de lenguaje grandes de una clase única de amenazas que no existían en la seguridad de software tradicional. A medida que las organizaciones implementan chatbots de IA, agentes autónomos y flujos de trabajo impulsados por LLM a escala, comprender y abordar las vulnerabilidades específicas de LLM se convierte en un requisito operativo crítico.
Por Qué los LLM Requieren un Nuevo Enfoque de Seguridad
La seguridad de aplicaciones tradicional asume un límite claro entre código (instrucciones) y datos (entrada del usuario). La validación de entrada, las consultas parametrizadas y la codificación de salida funcionan al hacer cumplir este límite estructuralmente.
Los modelos de lenguaje grandes colapsan este límite. Procesan todo — instrucciones del desarrollador, mensajes del usuario, documentos recuperados, salidas de herramientas — como un flujo unificado de tokens de lenguaje natural. El modelo no puede distinguir de manera confiable un prompt del sistema de una entrada maliciosa del usuario diseñada para parecer uno. Esta propiedad fundamental crea superficies de ataque sin equivalente en el software tradicional.
Además, los LLM son agentes capaces que utilizan herramientas. Un chatbot vulnerable no es solo un riesgo de contenido — puede ser un vector de ataque para exfiltrar datos, ejecutar llamadas API no autorizadas y manipular sistemas conectados.
El OWASP LLM Top 10
El Open Worldwide Application Security Project (OWASP) publica el LLM Top 10 — la referencia estándar de la industria para riesgos críticos de seguridad de LLM:
LLM01 — Inyección de Prompts: Entradas maliciosas o contenido recuperado anulan las instrucciones del LLM. Ver Inyección de Prompts .
LLM02 — Manejo Inseguro de Salida: El contenido generado por LLM se utiliza en sistemas posteriores (renderizado web, ejecución de código, consultas SQL) sin validación, habilitando XSS, inyección SQL y otros ataques secundarios.
LLM03 — Envenenamiento de Datos de Entrenamiento: Datos maliciosos inyectados en conjuntos de datos de entrenamiento causan degradación del comportamiento del modelo o introducen puertas traseras.
LLM04 — Denegación de Servicio del Modelo: Entradas computacionalmente costosas causan consumo excesivo de recursos, degradando la disponibilidad del servicio.
LLM05 — Vulnerabilidades de la Cadena de Suministro: Modelos preentrenados, plugins o datos de entrenamiento comprometidos introducen vulnerabilidades antes del despliegue.
LLM06 — Divulgación de Información Sensible: Los LLM revelan datos confidenciales de los datos de entrenamiento, prompts del sistema o documentos recuperados. Ver Exfiltración de Datos (Contexto IA) .
LLM07 — Diseño Inseguro de Plugins: Los plugins o herramientas conectados a LLM carecen de autorización adecuada, habilitando ataques de escalación.
LLM08 — Agencia Excesiva: Los LLM con permisos o capacidades excesivas pueden causar daños significativos cuando son manipulados.
LLM09 — Dependencia Excesiva: Las organizaciones no logran evaluar críticamente las salidas de LLM, permitiendo que errores o información fabricada afecten las decisiones.
LLM10 — Robo del Modelo: Acceso no autorizado o replicación de pesos o capacidades de LLM propietarios.
¿Listo para hacer crecer tu negocio?
Comienza tu prueba gratuita hoy y ve resultados en días.
Controles Principales de Seguridad de LLM
Separación de Privilegios y Mínima Autoridad
El control individual más impactante: limitar a qué puede acceder y qué puede hacer su LLM. Un chatbot de servicio al cliente no necesita acceso a la base de datos de recursos humanos, sistemas de procesamiento de pagos o APIs de administración. Aplicar principios de mínimo privilegio limita dramáticamente el radio de explosión de un ataque exitoso.
Seguridad del Prompt del Sistema
Los prompts del sistema definen el comportamiento del chatbot y a menudo contienen instrucciones sensibles para el negocio. Las consideraciones de seguridad incluyen:
- No incluir secretos, claves API o credenciales en los prompts del sistema
- Diseñar prompts para ser resistentes a intentos de anulación
- Instruir explícitamente al modelo para que no revele el contenido del prompt
- Probar la confidencialidad del prompt como parte de las evaluaciones de seguridad regulares (ver Extracción de Prompt del Sistema )
Validación de Entrada y Salida
Si bien ningún filtro es infalible, validar las entradas reduce la superficie de ataque:
- Marcar y bloquear patrones de inyección comunes y frases similares a instrucciones en las entradas del usuario
- Validar las salidas del modelo antes de pasarlas a sistemas posteriores
- Usar formatos de salida estructurados (esquemas JSON) para restringir las respuestas del modelo
Seguridad del Pipeline RAG
La generación aumentada por recuperación introduce nuevas superficies de ataque. Las implementaciones RAG seguras requieren:
- Controles estrictos sobre quién puede agregar contenido a las bases de conocimiento indexadas
- Validación de contenido antes de indexar
- Tratar todo el contenido recuperado como potencialmente no confiable
- Monitoreo de intentos de envenenamiento RAG
Barreras de Protección en Tiempo de Ejecución
Las barreras de protección en tiempo de ejecución en capas proporcionan defensa en profundidad más allá de la alineación a nivel de modelo:
- Filtros de moderación de contenido tanto en entradas como en salidas
- Detección de anomalías de comportamiento
- Limitación de velocidad y prevención de abuso
- Registro de auditoría para análisis forense
Pruebas de Seguridad Regulares
Las técnicas de ataque a LLM evolucionan rápidamente. Las pruebas de penetración de IA y el red teaming de IA deben realizarse regularmente — como mínimo antes de cambios importantes y anualmente como evaluaciones de referencia.
Términos Relacionados
- Inyección de Prompts — la vulnerabilidad de LLM más crítica
- OWASP LLM Top 10 — el marco integral de riesgos de seguridad de LLM
- Red Teaming de IA — pruebas de seguridad adversariales sistemáticas
- Envenenamiento RAG — ataques de contaminación de base de conocimiento
- Pruebas de Penetración de IA — evaluaciones de seguridad estructuradas para sistemas de IA