Lista OWASP de riesgos de aplicaciones con modelos de lenguaje

La lista de OWASP para aplicaciones con modelos de lenguaje reúne diez categorías, con identificadores de LLM01 a LLM10 en la edición de 2025. Dos de ellas se confunden con frecuencia: una trata de lo que entra (instrucciones que llegan dentro del texto y alteran el comportamiento) y otra de lo que sale (la respuesta del modelo se usa en otra parte sin validarla).

Tratar la salida del modelo como texto de un usuario no confiable es la misma disciplina que se aplica a cualquier entrada externa.

Cuando el modelo puede llamar herramientas (reembolsar, borrar, enviar), el riesgo cambia de lo que dice a lo que hace. Quien diseña el sistema decide con qué cuenta actúa, con qué topes y si una persona confirma. Abre las observaciones y localiza la que describe una herramienta con permiso sin tope y sin confirmación, y busca su categoría en la lista.

El texto de instrucciones que configura el comportamiento de un asistente no es un secreto de seguridad: nunca debe contener credenciales, nombres de infraestructura ni reglas cuya protección dependa de que no se vean. Si el texto se puede obtener pidiéndolo, lo que no debía estar ahí queda expuesto.

Busca la observación en la que un agente interno obtuvo ese texto y su categoría.

El consumo sin límite no solo es dinero: es una puerta a la negación de servicio y a gastos que nadie presupuestó. Un límite por cuenta y alertas de costo son controles sencillos. Con los datos de costos, calcula cuántas veces superó el día de la observación al habitual.

El equipo puede atender dos observaciones esta semana. Algunas pueden mover dinero o mezclar datos de clientes distintos; otras causan errores o gasto, que duelen pero se contienen mejor. Cuando el impacto es la confidencialidad de terceros o un movimiento de dinero sin control, el orden cambia.