La IA generativa se adopta más rápido de lo que se controla. Esta guía te lleva de la amenaza real —el prompt injection— al modelo de gobierno y control que un CISO puede empezar a armar hoy, con marcos reconocidos y una hoja de ruta accionable.
Recurso informativo y gratuito. Sin registro. Basado en marcos públicos (NIST, ISO, OWASP, MITRE, CIS).
La razón de fondo es simple y estructural: los modelos de lenguaje no separan las instrucciones de los datos. Procesan cualquier texto que reciben —incluido texto malicioso oculto en una web, un correo, un documento o hasta una invitación de calendario— como si fuera una orden legítima. Por eso OWASP clasifica el prompt injection como el riesgo #1 de las aplicaciones con LLM, y por eso hoy existen “formas limitadas o nulas de prevenirlo” con un solo control.
El atacante habla directo con el modelo (jailbreaking) para saltarse o sobrescribir los guardrails.
El prompt malicioso se esconde en una fuente externa (web, email, documento) que el agente lee después. No requiere acceso directo — es el vector más peligroso.
Por qué le importa a un CISO: los agentes de IA suelen tener acceso privilegiado a sistemas y datos, y el ataque requiere poca habilidad — “basta con tener acceso”. Cada integración de IA amplía la superficie de ataque sin que nadie lo note.
Casos reales documentados. Cada uno deja una lección de gobierno.
Un prompt oculto (fuente de 1 pt) en una “guía de integración” hizo que el agente recolectara credenciales de archivos .env y las enviara a un webhook del atacante — que venía allowlisteado por defecto.
Lección: revisá los allowlists por defecto de tus herramientas de IA.
Un pull request malicioso inyectó un prompt “wiper” que ordenaba al asistente borrar archivos del equipo y destruir recursos AWS. Se distribuyó en un release; no ejecutó por un error de sintaxis.
Lección: la IA tiene cadena de suministro; revisá el código con humanos.
Instrucciones ocultas en un documento con la palabra “finanzas” se ejecutaban al hacer una búsqueda normal —sin un solo clic— exfiltrando emails, calendarios y documentos.
Lección: el riesgo vive en los datos a los que la IA accede, no solo en el modelo.
Un email con un prompt auto-replicante se almacena en la base RAG del asistente de correo, roba datos y, al responder otros correos, infecta a los nuevos destinatarios sin intervención humana.
Lección: pensá en el ecosistema, no en la app aislada.
Antes de gobernar, hay que nombrar el riesgo. Dos marcos dan el vocabulario que comparten Seguridad, Arquitectura y Red Team.
Los 10 riesgos más críticos de las apps con IA generativa.
El equivalente de MITRE ATT&CK, adaptado a la IA: tácticas (objetivos del adversario) y técnicas (métodos concretos) contra sistemas de IA/ML.
Sirve para modelar amenazas sobre tus sistemas de IA —entrenamiento, RAG, despliegue, inferencia—, ver dónde faltan controles y alinear la defensa con patrones de ataque reales.
Ningún control alcanza solo. Un modelo de gobierno de IA combina un marco de proceso, un estándar certificable y controles técnicos.
Marco voluntario del NIST para incorporar confiabilidad en todo el ciclo de vida de la IA. Se organiza en cuatro funciones. El Generative AI Profile (NIST-AI-600-1) las aterriza a los riesgos específicos de la IA generativa.
Políticas, tolerancia al riesgo, roles y rendición de cuentas. Quién es dueño de cada sistema de IA y quién responde. Es transversal a las otras tres.
Contexto: stakeholders, límites del sistema, casos de uso y daños potenciales. Habilita la decisión inicial go / no-go.
Evaluar, hacer benchmark y monitorear el sistema y sus impactos, con métodos cuantitativos y cualitativos.
Tratar el riesgo: priorizar, asignar recursos y preparar respuesta, recuperación y comunicación ante incidentes.
Primer estándar internacional para un sistema de gestión de IA (AIMS). Convierte las buenas intenciones en un sistema auditable.
Los controles de seguridad de siempre, con lente de IA. Así se aterriza el gobierno a acciones concretas:
La defensa es en capas. Estos son los controles de mayor retorno contra el prompt injection y el exceso de permisos de los agentes.
Aprobación humana explícita para acciones de riesgo: enviar datos, borrar, ejecutar cambios.
El agente accede solo a lo estrictamente necesario. Los permisos se manejan en código, no delegados al modelo.
Nada de ejecutar código sin aprobación; acceso a backend solo con claves válidas y trazables.
Saber qué sistemas y datos puede tocar cada IA. Lo que no está inventariado, no se puede proteger.
Limitar qué contenido se guarda en bases RAG para evitar que se almacenen prompts maliciosos.
Estandarizar la conexión modelo↔datos (Model Context Protocol) concentra dónde imponer autenticación y control de acceso.
Ningún proveedor confía en una sola defensa. Google publicó cinco capas de referencia contra la inyección indirecta:
No hace falta un programa perfecto para empezar. Hace falta empezar.
Una plantilla adaptable con las secciones esenciales —alcance, datos permitidos y prohibidos, herramientas aprobadas, revisión humana, responsabilidades— más la hoja de ruta 30/60/90 completa. Lista para imprimir o guardar como PDF.
Abrir la plantillaEs el conjunto de políticas, roles, controles y procesos que definen cómo tu organización adopta, opera y supervisa la IA de forma segura y responsable. Lo necesitás porque la IA se adopta más rápido de lo que se controla, tiene acceso privilegiado a sistemas y datos, y presenta riesgos inherentes —como el prompt injection— que exigen un modelo de defensa en capas, no un solo control.
Una técnica que manipula a un LLM o su agente para ejecutar instrucciones maliciosas. Ocurre porque los LLM no separan las instrucciones de los datos: procesan cualquier texto —incluido texto oculto en una web, un email o un documento— como si fuera una orden legítima. OWASP lo clasifica como el riesgo #1 de las apps con LLM.
Combiná tres marcos: NIST AI RMF (GOVERN/MAP/MEASURE/MANAGE) como proceso, ISO/IEC 42001 para un sistema de gestión certificable integrado con tu ISO 27001, y CIS Controls v8 con lente de IA para lo técnico. Como primer paso: publicá una política de uso aceptable, inventariá qué IA se usa y a qué accede, y aplicá privilegio mínimo y revisión humana. La hoja de ruta 30/60/90 de esta página te ordena el arranque.
Son complementarios. NIST AI RMF es un marco voluntario que ordena el proceso de gestión de riesgo. ISO/IEC 42001 es un estándar certificable que formaliza el sistema de gestión y se integra con ISO 27001. Muchas organizaciones usan NIST para operar el riesgo e ISO 42001 para certificar el gobierno ante reguladores y clientes.
Todo el contenido de esta guía se apoya en marcos públicos y reportes verificables.
Taxonomía de los 10 riesgos de las apps LLM.
Tácticas y técnicas adversariales contra IA.
Marco de gestión de riesgo de IA + perfil GenAI.
Sistema de gestión de IA certificable.
Controles de seguridad + guía complementaria de IA/LLM.
Estándar abierto de conexión segura modelo↔datos.
Ancla de amenaza: informe “Prompt Injections — The Inherent Threat to Generative AI” (MS-ISAC / CIS, marzo 2026, TLP:CLEAR). Casos citados: PromptArmor, 404 Media / CVE-2025-8217, Noma Security (GeminiJack) y el estudio Morris II (arXiv 2403.02817).
Todos los marcos coinciden en un punto: la concientización del personal (CIS Control 14) es una defensa de primer orden. La persona que reconoce un prompt sospechoso, o que sabe qué datos nunca pegar en una IA, evita el incidente antes de que ocurra.
En LUDUS entrenamos exactamente esa capa: concientización gamificada, simulaciones y retos prácticos, con métricas y evidencia para el CISO.
Conocer cómo entrenamos al equipo