Qué es el OWASP Top 10 para LLM y su app RAG

Antes del primer riesgo conviene saber sobre qué trabaja: qué es una aplicación LLM, qué es OWASP, de dónde sale esta lista y por qué la piden desarrollo, seguridad y auditoría. En "IA para ciberseguridad" vio el Top 10 como analista; aquí es parte del equipo que construye la aplicación.

Qué es una aplicación LLM

Un LLM (Large Language Model, modelo grande de lenguaje) es un programa entrenado con enormes cantidades de texto para predecir la continuación más probable de lo que recibe. No "entiende" como una persona: calcula qué palabras siguen. Una aplicación LLM es todo lo que se construye alrededor: interfaz, orquestador que arma la consulta, documentos, herramientas que el modelo puede pedir usar y bitácora. Por eso casi nunca se ataca "al modelo", sino a la aplicación que mezcla texto de muchas fuentes y le da acceso a datos y acciones.

Qué es OWASP y qué es este Top 10

OWASP (Open Worldwide Application Security Project) es una fundación sin fines de lucro que publica guías y herramientas abiertas de seguridad de aplicaciones. Sus listas "Top 10" resumen, por consenso, los riesgos más importantes de un tipo de sistema. El OWASP Top 10 para aplicaciones LLM lo hace para software con modelos de lenguaje. No es una norma obligatoria: es un vocabulario común para diseñar, revisar y reportar.

Breve historia

La lista de la edición 2025

Cada riesgo tiene un identificador oficial que usará durante todo el curso:

LLM01:2025  Prompt Injection                  Inyección de instrucciones
LLM02:2025  Sensitive Information Disclosure  Divulgación de información sensible
LLM03:2025  Supply Chain                      Cadena de suministro
LLM04:2025  Data and Model Poisoning          Envenenamiento de datos y modelos
LLM05:2025  Improper Output Handling          Manejo inadecuado de salidas
LLM06:2025  Excessive Agency                  Agencia excesiva
LLM07:2025  System Prompt Leakage             Fuga del prompt de sistema
LLM08:2025  Vector and Embedding Weaknesses   Debilidades en vectores y embeddings
LLM09:2025  Misinformation                    Desinformación
LLM10:2025  Unbounded Consumption             Consumo sin límite

Frente a 2023 aparecen dos riesgos nuevos: la fuga del prompt de sistema (LLM07) y las debilidades en vectores y embeddings (LLM08). El consumo sin límite amplía la antigua "denegación de servicio del modelo" para incluir el gasto descontrolado. Si sale una edición más nueva, los identificadores pueden cambiar; el razonamiento defensivo seguirá valiendo.

Eso ya pasó: en agosto de 2026 OWASP publicó la edición 2026. Los riesgos son los mismos, pero cambia el orden y la fuga del prompt de sistema pasa a llamarse Hidden Context Exposure. Si alguien le cita un identificador, pregunte de qué edición es:

Por qué importa en ciberseguridad y en el trabajo

Las empresas conectan modelos a correos, documentos y sistemas de tickets más rápido de lo que los revisan. Cuando algo falla, el daño es conocido: datos personales expuestos (un tema legal en Costa Rica por la Ley 8968), acciones sin permiso o facturas que se disparan. Este Top 10 lo usan:

• Desarrolladores, que deciden qué datos y herramientas recibe el modelo.
• Seguridad de aplicaciones, que revisa diseños y código antes de producción.
• Auditoría y GRC, que necesitan un marco reconocido para pedir evidencia.
• Analistas de SOC, que deben saber qué registrar y qué alertas esperar.

Quien no lo domina confía en el prompt como control de seguridad: la raíz de casi todos los incidentes del curso.

Dónde se usa

Conceptos clave

Su aplicación ficticia: el Asistente Volcán

Mutual Volcán, entidad financiera ficticia de Costa Rica, quiere un asistente interno que responda a sus empleados con sus propios documentos. Es una aplicación RAG:

Empleado ──► Interfaz web ──► Orquestador ──► Recuperador ──► Base de vectores
                                   │                            (políticas, guías, RR. HH.)
                                   ├──► Modelo de lenguaje
                                   ├──► Herramientas: consultar ticket, cerrar ticket
                                   └──► Bitácora

Cada flecha es una frontera de confianza. Lo que escribe el empleado no es confiable, ni lo que trae el recuperador: cualquiera con acceso a la intranet pudo escribir ese documento. Y lo que devuelve el modelo es un dato más que hay que validar. En los laboratorios usará un modelo de juguete, una función que exagera la debilidad de un modelo real: lo importante son los controles a su alrededor.