DeflankSeguridad de LLM: límites que se pueden demostrar
La prueba, no la estimación.
El prompt injection encabeza el OWASP Top 10 para aplicaciones LLM. Y tiene una propiedad incómoda: no se elimina del todo. El modelo procesa instrucciones y datos por el mismo canal —lenguaje natural—, así que distinguirlos es intrínsecamente ambiguo.
Quien te prometa un filtro que lo bloquee al 100 % te está vendiendo una estimación disfrazada de garantía.
Nosotros lo abordamos por el otro extremo.
El cambio de enfoque
Las defensas habituales intentan detectar el ataque: filtros, clasificadores de intención, red teaming. Son necesarias, pero comparten un techo: entregan una estimación —«no conseguimos romperlo esta vez»—, nunca una garantía.
En lugar de intentar adivinar cada ataque posible, la pregunta útil es otra: ¿qué tiene permitido hacer el sistema? Si una inyección engaña al modelo, lo que importa es qué acciones puede ejecutar y qué lo impide fuera del modelo.
Esa es la pregunta que responde nuestro diagnóstico hoy. Y es la que la plataforma que estamos construyendo convertirá en una prueba verificable: que la acción prohibida no puede ejecutarse, aunque el modelo se equivoque.
Qué obtienes hoy: el diagnóstico
- Inventario de lo que pueden hacer tus asistentes y agentes: herramientas, datos y permisos, incluido lo que nadie autorizó expresamente.
- Revisión frente a los riesgos de OWASP que importan en producción: inyección de prompt (LLM01), agencia excesiva (LLM06), tratamiento inadecuado de la salida (LLM05), divulgación de información sensible (LLM02) y cadena de suministro (LLM03). Para cada uno, qué control existe y si está fuera del modelo o solo en el prompt.
- Encaje con el artículo 15 del EU AI Act —precisión, solidez y ciberseguridad— si el sistema es de alto riesgo, y con el artículo 21 de NIS2 si te aplica.
- Registros: si queda rastro de lo que el sistema hizo y por qué.
- Plan de remediación priorizado.
No es un pentest ni un ejercicio de red teaming: es la revisión del diseño y de sus controles.
Y ya no es solo una buena práctica
Desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I), el artículo 15 del Reglamento (UE) 2024/1689 exige a los sistemas de IA de alto riesgo un nivel adecuado de precisión, solidez y ciberseguridad, sostenido durante todo su ciclo de vida. El Reglamento contempla expresamente los ciberataques dirigidos contra los activos de la IA: envenenamiento de datos y ataques adversarios.
Y si tu organización está bajo NIS2, la seguridad de la cadena de suministro —de la que forma parte tu proveedor de modelos— ya es una medida obligatoria hoy (artículo 21).
Hacia dónde vamos
Estamos construyendo una plataforma que pondrá límites externos al modelo y convertirá esos límites en una prueba matemática, reproducible y verificable por un tercero, que podrá instalarse en tu propio perímetro. Sin fecha comprometida.
Empieza por saber dónde estás
Valoración inicial gratuita. Una conversación sobre tu caso: qué asistentes o agentes usas, qué pueden hacer y qué conviene mirar primero. Sin compromiso.
Sigue leyendo: Seguridad de LLM: los riesgos reales (guía) · IA agéntica · EU AI Act · NIS2.
Fuentes: OWASP Top 10 for LLM Applications (2025); Reglamento (UE) 2024/1689, artículo 15; Directiva (UE) 2022/2555, artículo 21.
Preguntas frecuentes
¿Se puede eliminar del todo el prompt injection?
No. El modelo recibe instrucciones y datos por el mismo canal, el lenguaje natural, y distinguirlos es ambiguo por naturaleza. Por eso encabeza el OWASP Top 10 para aplicaciones LLM y por eso conviene desconfiar de quien prometa bloquearlo al 100 %.
¿En qué se diferencia de un filtro o de un ejercicio de red teaming?
Los filtros y el red teaming intentan detectar el ataque y entregan una estimación: «esta vez no lo conseguimos romper». Nuestro diagnóstico mira lo que el sistema tiene permitido hacer: si una inyección engañara al modelo, qué acciones podría ejecutar y qué lo impediría. No es un pentest: es la revisión del diseño y de sus controles.
¿El AI Act obliga a proteger un LLM frente a estos ataques?
Si forma parte de un sistema de alto riesgo, sí: el artículo 15 exige un nivel adecuado de precisión, solidez y ciberseguridad durante todo el ciclo de vida, incluidos los ataques contra los activos de la IA. Se aplica desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I).
¿Y si mi organización está bajo NIS2?
Entonces la seguridad de la cadena de suministro ya es obligatoria hoy (artículo 21 de la Directiva (UE) 2022/2555), y tu proveedor de modelos forma parte de esa cadena.
¿Tengo que instalar algo o daros acceso a mis modelos?
No. Trabajamos con la documentación y la configuración de tus sistemas y con entrevistas a tu equipo, bajo confidencialidad.