OWASP es la organización de referencia en seguridad de aplicaciones. Su lista de riesgos para LLM¹, en su versión de 2025, recoge los diez problemas más importantes de las aplicaciones que usan IA generativa. Está escrita para equipos técnicos, así que aquí la traduzco a lo que significa para una empresa.

El primero de la lista, el LLM01, es la prompt injection², o inyección de prompts: instrucciones escondidas en un texto que la IA lee para que haga algo que tú no has pedido. OWASP aclara que esas instrucciones pueden ser imperceptibles para una persona, basta con que el modelo las procese. Lo conté con más detalle en qué es la prompt injection y en los ejemplos de prompt injection indirecta.

El LLM06, agencia excesiva³, es lo que convierte ese fallo en un problema serio. Ocurre cuando el asistente tiene más funciones, más permisos o más autonomía de los que necesita. OWASP pone ejemplos muy concretos: una extensión para leer documentos que también puede modificarlos y borrarlos, o una que se conecta a la base de datos con una cuenta que puede escribir cuando solo debería leer. Es el tema de mi artículo sobre agentes de IA con demasiados permisos.

El LLM05, gestión incorrecta de la salida⁴, es el mismo problema visto desde el otro lado. Si el texto que genera el modelo se pasa sin revisar a otro sistema, se puede acabar ejecutando código o lanzando una consulta a la base de datos que alguien manipuló a través del modelo. La recomendación de OWASP es tratar al modelo como a cualquier otro usuario y validar lo que produce antes de que llegue al resto de sistemas.

El LLM02, revelación de información sensible⁵, cubre datos personales, financieros, historiales médicos, información confidencial del negocio, credenciales y documentos legales que la IA puede acabar mostrando en sus respuestas. Entre las medidas, OWASP incluye aplicar el mínimo privilegio a los datos y avisar a los usuarios de que no introduzcan información sensible. Tienes la versión práctica en qué datos no pegar en ChatGPT.

El LLM07, filtración del prompt del sistema⁶, tiene una enseñanza sencilla: las instrucciones internas de un asistente no deben considerarse secretas ni usarse como control de seguridad. Según OWASP, las claves, las cadenas de conexión y los permisos no deben ir escritos en el prompt, y las reglas importantes deben aplicarse fuera del modelo.

El LLM08, debilidades en vectores y embeddings⁷, afecta a los asistentes que consultan los documentos de la empresa, los que usan RAG. Si todos los documentos están en la misma base y no se controla quién puede ver cuáles, la información de un grupo puede llegar a las consultas de otro. OWASP recomienda bases de datos vectoriales que respeten los permisos y revisar lo que entra en la base de conocimiento, y plantea un ejemplo que se entiende enseguida: un CV con texto oculto, blanco sobre blanco, que le pide al sistema de selección que recomiende a ese candidato. Lo desarrollo en el artículo sobre el asistente de IA con los documentos de tu empresa.

El LLM03, cadena de suministro⁸, recuerda que un asistente se construye con piezas de terceros: modelos, librerías y datos. OWASP cita el ataque PoisonGPT, que cambió directamente los parámetros de un modelo para saltarse las protecciones de Hugging Face, y plantea el escenario de una copia falsa de un modelo popular con malware. Para una pyme, la traducción es sencilla: usa modelos de fuentes verificables y mantén actualizado lo que instalas.

El LLM04, envenenamiento de datos y modelos⁹, es la manipulación de los datos con los que se entrena o ajusta un modelo, o de los que se le dan para consultar, para introducir sesgos o puertas traseras. Afecta sobre todo a quien entrena su propio modelo, pero también a quien alimenta un asistente con documentos de procedencia dudosa.

El LLM09, desinformación¹⁰, es la de las respuestas falsas que parecen creíbles. OWASP menciona el caso del chatbot de Air Canada, que dio información incorrecta a viajeros, y el de ChatGPT inventando casos judiciales que acabaron causando problemas ante un tribunal. Entre sus recomendaciones están contrastar las respuestas con fuentes externas de confianza y mantener supervisión humana en lo crítico.

El LLM10, consumo sin límites¹¹, recoge que un uso excesivo o abusivo puede tumbar el servicio o disparar la factura. OWASP lo llama "denial of wallet" y propone límites de uso, cuotas y vigilancia del consumo. Un caso real relacionado son las claves de API robadas, que expliqué en qué es el LLMjacking.