STRIDE aplicado a componentes de IA

STRIDE agrupa las amenazas por la propiedad de seguridad que rompen. Suplantación de identidad rompe la autenticidad; manipulación rompe la integridad; repudio rompe la posibilidad de demostrar quién hizo qué; divulgación de información rompe la confidencialidad; denegación de servicio rompe la disponibilidad; elevación de privilegios rompe la autorización. Para clasificar no se mira cómo se haría, se mira qué propiedad se pierde.

En un sistema con modelo las seis siguen sirviendo, pero aparecen en sitios nuevos. Alterar el texto que entra al contexto es manipulación. Que el modelo revele sus instrucciones es divulgación. Un registro que no guarda qué herramienta se llamó en nombre de quién deja la puerta abierta al repudio. Disparar el consumo de tokens hasta agotar la cuota es denegación de servicio. Y cuando un texto lleva al modelo a pedir una acción que la persona de la sesión no podría hacer, y el sistema la ejecuta con la cuenta del asistente, lo que se pierde es la autorización.

Un borrador escrito con prisa suele tener amenazas bien vistas y mal etiquetadas. La etiqueta importa porque cada categoría lleva a una familia de mitigaciones distinta: una amenaza de disponibilidad se trata con límites y cuotas, una de repudio con registros que identifiquen al autor de cada acción. Si la categoría está mal, la mitigación que se propone no cierra la amenaza.

Revisa cada fila del borrador con la tabla de trabajo en la mano: una dice una categoría y describe la pérdida de otra propiedad.

El método funciona porque obliga a pasar por todos los elementos. Si un elemento del diagrama no aparece en ninguna fila, no es que esté a salvo: es que nadie lo revisó. En un sistema con modelo los olvidos más comunes son los almacenes que no reciben tráfico de usuarios y parecen un detalle de infraestructura, aunque guarden algo capaz de alterar el comportamiento de todo el asistente.

Cruza la lista de elementos con la columna de elemento del borrador.

Contar cuántas amenazas hay en cada categoría es una revisión de cobertura: si una categoría queda casi vacía, el equipo pensó en lo que le resulta familiar y dejó de preguntar por lo demás. El recuento tiene sentido solo con las etiquetas corregidas, porque una fila mal clasificada infla una categoría y esconde el hueco de otra.

Aplica la corrección de la tarea 2 y cuenta.

Una vez bien clasificada, la amenaza de repudio pide una mitigación de su familia. En un asistente con herramientas, el repudio se cierra con un registro que permita demostrar, para cada acción, quién la pidió en la sesión, qué herramienta se llamó y con qué parámetros, y qué versión del modelo y de las instrucciones respondió. Lo demás puede ser útil, pero no demuestra quién hizo qué.