Las categorías de riesgo de OWASP para LLM

La lista de OWASP nombra los riesgos más importantes de las aplicaciones que usan modelos de lenguaje: inyección de instrucciones, divulgación de información sensible, cadena de suministro, envenenamiento de datos y modelos, manejo inseguro de la salida, agencia excesiva, fuga del mensaje de sistema, debilidades de vectores y embeddings, desinformación y consumo sin límite. Cada una tiene un identificador de LLM01 a LLM10 en la edición 2025.

Sirve para clasificar y hablar el mismo idioma con el cliente y con otros equipos. No sirve como lista de comprobación cerrada: una aplicación puede fallar de una forma que no encaja limpiamente en una sola categoría, y el alcance firmado decide qué se prueba. Abre la tabla lista_owasp_llm_2025 y recórrela una vez.

En la transcripción T-04 se escribió en un campo un nombre de prueba con una etiqueta inerte. El asistente lo repitió y la ventana del chat lo pintó con formato. El modelo hizo lo esperado; lo que falló es lo que la aplicación hace con la salida. Busca en la lista de categorías la que habla de validar y sanear lo que el modelo produce antes de entregarlo a otros sistemas, y escribe su identificador.

En T-05 el asistente cambió el beneficiario de una póliza de prueba a partir de un mensaje ambiguo, sin que nadie confirmara. La categoría no se refiere a lo que el modelo dijo, sino a las funciones, permisos y autonomía que se le dieron. La remediación suele estar fuera del texto del modelo: confirmación del usuario, permisos mínimos.

En T-03 la respuesta a una pregunta normal incluyó una palabra de control que el equipo de la prueba había dejado a propósito en una nota de reclamo. Nadie la escribió en el chat. Es un detalle de buena práctica: en lugar de plantar una orden dañina, se planta una marca inocua acordada con el cliente, y se observa si aparece donde no debería.

Lo que demuestra es que el modelo trató como instrucción un dato de una fuente que otros pueden editar. La marca no hace daño a nadie y, aun así, prueba el camino.

Un informe de prueba no es una colección de fallos. Una de las ocho transcripciones no es un hallazgo: la aplicación hizo lo que debía. Se anota igual, en la sección de pruebas sin hallazgo, porque le dice al cliente qué se comprobó y que resistió.