El OWASP Top 10 para aplicaciones con LLM es la lista de referencia de los diez riesgos de seguridad más críticos en aplicaciones construidas sobre modelos de lenguaje, como chatbots, asistentes y agentes. La edición vigente es la 2026, publicada en agosto de 2026 por el OWASP GenAI Security Project, y encabeza la lista la inyección de prompts. Si tu empresa usa o está construyendo una aplicación con IA generativa, esta lista es el mínimo que tu equipo o tu proveedor debe poder explicarte cómo cubre.
¿Qué es el OWASP Top 10 para LLMs y qué cambió en 2026?
OWASP (Open Worldwide Application Security Project) es una fundación sin fines de lucro que publica estándares abiertos de seguridad de software. Su Top 10 para LLMs nació en 2023 y tuvo una edición 2025; la edición 2026 combina por primera vez el voto de profesionales que atacan y defienden estos sistemas con un registro de incidentes reales.
Los cambios más relevantes frente a la edición 2025:
- Agencia excesiva sube al tercer lugar (antes sexto): los daños se están concentrando en despliegues con agentes que ejecutan acciones.
- Consumo sin límites sube cuatro puestos, al sexto lugar.
- Manejo inadecuado de salidas baja del quinto al décimo, aunque ahora incluye el código inseguro generado por asistentes.
- "System Prompt Leakage" pasa a llamarse Hidden Context Exposure (exposición de contexto oculto), un enfoque más amplio.
OWASP aclara un límite: esta lista cubre el modelo como componente de tu aplicación. Cuando el modelo actúa por su cuenta (herramientas, memoria, acciones encadenadas), se complementa con el OWASP Top 10 para Aplicaciones Agénticas, publicado en diciembre de 2025.
Los 10 riesgos explicados con ejemplos de negocio
LLM01:2026 Prompt Injection (inyección de prompts)
Ocurre cuando un texto, documento, imagen o resultado de herramienta altera el comportamiento del modelo de forma no prevista. Ejemplo: un correo de un "cliente" con instrucciones ocultas hace que el asistente de soporte revele datos de otros clientes. OWASP reconoce que hoy no existe una prevención totalmente fiable, así que la defensa es de arquitectura. Lo desarrollamos en nuestra guía de prompt injection en agentes de IA.
LLM02:2026 Sensitive Information Disclosure (divulgación de información sensible)
El sistema expone datos confidenciales o personales por un canal no autorizado: la respuesta, los registros, los argumentos de herramientas o los fragmentos recuperados. Ejemplo: un asistente interno de RRHH responde a cualquier empleado con datos salariales que solo debería ver gerencia. Control: filtrar por permisos del usuario antes de que el dato llegue al modelo, no después.
LLM03:2026 Excessive Agency (agencia excesiva)
El modelo tiene más herramientas, permisos o autonomía de los necesarios, y un error o manipulación se convierte en una acción dañina. Ejemplo: un agente que solo debía resumir correos también puede enviarlos y borrarlos. Controles de OWASP: minimizar herramientas y sus funciones, evitar herramientas abiertas (shell, URL arbitraria), ejecutar con los permisos del usuario y exigir aprobación humana para acciones de alto impacto.
LLM04:2026 Supply Chain (cadena de suministro)
Modelos, adaptadores, datasets o paquetes de terceros manipulados o de origen dudoso. Ejemplo: descargar un modelo "afinado para español" de un repositorio público sin verificar quién lo publicó. Control: inventario de componentes de IA, fuentes verificadas, versiones fijadas y revisión de licencias.
LLM05:2026 Data and Model Poisoning (envenenamiento de datos y modelos)
Alguien manipula los datos de entrenamiento, ajuste fino o la base documental para introducir sesgos o puertas traseras. Ejemplo: un competidor sube documentos manipulados a un portal cuyos contenidos alimentan tu asistente. Control: procedencia y validación de datos, control de quién puede escribir en las fuentes, y pruebas de comportamiento tras cada actualización.
LLM06:2026 Unbounded Consumption (consumo sin límites)
La aplicación permite un uso descontrolado que dispara costos, degrada el servicio o permite copiar el modelo. Ejemplo: un bot público sin límite de peticiones que alguien usa para generar miles de respuestas largas, y la factura del proveedor de IA se multiplica en un fin de semana. Control: límites por usuario y por IP, topes de tokens, alertas de gasto y cortes automáticos.
LLM07:2026 Misinformation (desinformación)
El modelo produce información incorrecta pero creíble, y alguien o algo actúa sobre ella. Ejemplo: un asistente comercial inventa una condición de garantía que tu empresa no ofrece. Control: respuestas basadas en fuentes citables, validación de datos críticos y revisión humana en decisiones con consecuencias.
LLM08:2026 Hidden Context Exposure (exposición de contexto oculto)
Un atacante extrae el prompt de sistema, reglas internas o esquemas de herramientas. OWASP recomienda asumir que todo el contexto es descubrible. Ejemplo: el prompt de un chatbot contiene una clave de API o los criterios internos de aprobación de crédito. Control: nunca poner secretos ni lógica de autorización en el prompt; la seguridad se aplica fuera del modelo.
LLM09:2026 Vector and Embedding Weaknesses (debilidades de vectores y embeddings)
Riesgos en la capa de búsqueda semántica que alimenta al modelo, típica en RAG. Ejemplo: una base vectorial compartida entre clientes devuelve fragmentos de la empresa A a un usuario de la empresa B. Control: control de acceso a nivel de documento en la recuperación, separación por cliente y validación de lo que se indexa.
LLM10:2026 Improper Output Handling (manejo inadecuado de salidas)
La salida del modelo se pasa a otro sistema sin validarla, lo que abre la puerta a XSS, inyección SQL o ejecución remota. Ejemplo: el modelo genera HTML que tu web muestra sin sanitizar. Control: tratar la salida del modelo como entrada no confiable de un usuario, con validación, codificación y consultas parametrizadas, igual que harías en una API segura.
Tabla resumen: riesgo, ejemplo y control
| Riesgo | Ejemplo de negocio | Control principal |
|---|---|---|
| LLM01 Prompt Injection | Correo con instrucciones ocultas manipula al asistente | Mínimo privilegio, aprobación humana, separar contenido no confiable |
| LLM02 Divulgación de información | Asistente de RRHH revela salarios | Filtrar por permisos antes del modelo |
| LLM03 Agencia excesiva | Agente puede enviar y borrar correos | Herramientas mínimas y aprobación de acciones |
| LLM04 Cadena de suministro | Modelo de origen desconocido | Inventario, fuentes verificadas, versiones fijadas |
| LLM05 Envenenamiento | Documentos manipulados en la base de conocimiento | Procedencia y control de escritura en fuentes |
| LLM06 Consumo sin límites | Factura de IA disparada por abuso | Límites de uso, topes y alertas de gasto |
| LLM07 Desinformación | Condición de garantía inventada | Respuestas con fuentes y revisión humana |
| LLM08 Contexto oculto | Clave de API dentro del prompt | Sin secretos en el prompt |
| LLM09 Vectores y embeddings | RAG mezcla datos de clientes | Control de acceso por documento |
| LLM10 Manejo de salidas | HTML generado sin sanitizar | Validar y codificar toda salida |
Cómo probar la seguridad de una aplicación con IA
Un pentest de IA es una prueba de penetración enfocada en los riesgos propios de los LLM, que se suma a la prueba tradicional de la aplicación y su API. El red teaming de IA es su versión más amplia y continua: simular adversarios realistas contra el sistema completo. Así lo abordamos en nuestro servicio de ciberseguridad:
- Modelado de amenazas: qué datos ve el modelo, qué herramientas puede invocar, de dónde llega contenido no confiable.
- Pruebas automatizadas: baterías de ataques con herramientas abiertas como garak o PyRIT para cubrir inyección, fugas y abuso de herramientas.
- Pruebas manuales adaptativas: OWASP advierte que las defensas que resisten ataques estáticos suelen caer ante atacantes que conocen la defensa, por eso el tester debe adaptar sus ataques.
- Prueba de la infraestructura clásica: autenticación, autorización, APIs y nube siguen siendo la mayoría de los hallazgos.
- Informe con evidencia y plan de corrección, más una nueva prueba tras corregir.
Como referencia de precios, un pentest de una app móvil más su API parte de USD 2,500 en 1 a 3 semanas; una aplicación con LLM suma alcance según el número de herramientas, fuentes de datos e integraciones. Más detalle en nuestra guía de tipos, alcance y costo del pentesting. Para medir calidad (no solo seguridad), complementa con evaluaciones de asistentes de IA.
Relación con el NIST AI RMF
El AI Risk Management Framework (AI RMF 1.0) del NIST de Estados Unidos organiza la gestión de riesgos de IA en cuatro funciones: Govern (gobernar), Map (mapear), Measure (medir) y Manage (gestionar). Su perfil para IA generativa, el NIST AI 600-1 de julio de 2024, aterriza esos principios. La edición 2026 de OWASP incluye un mapeo de cada riesgo con ambos documentos. En la práctica: OWASP te dice qué puede fallar técnicamente y NIST te da el marco de gobierno para gestionarlo. Aunque NIST no es obligatorio en Ecuador, es una base sólida para demostrar diligencia ante clientes y ante la Superintendencia de Protección de Datos Personales cuando la IA trata datos personales bajo la LOPDP.
Checklist antes de salir a producción
- Inventario de modelos, proveedores, datos y herramientas que usa la aplicación.
- Cada herramienta con el mínimo permiso necesario y credenciales fuera del prompt.
- Aprobación humana para pagos, envíos externos, borrados y cambios de configuración.
- Filtros de acceso por usuario aplicados antes de la recuperación de documentos.
- Salidas del modelo validadas y codificadas antes de llegar a web, base de datos o shell.
- Límites de uso, topes de tokens y alertas de gasto configurados.
- Registros de prompts, herramientas invocadas y respuestas, con retención definida.
- Prueba de seguridad de IA realizada y hallazgos críticos corregidos.
- Plan de respuesta si el asistente filtra datos o ejecuta una acción indebida.
Preguntas frecuentes
¿Cuál es la versión más reciente del OWASP Top 10 para LLMs?
La edición 2026, publicada en agosto de 2026 por el OWASP GenAI Security Project. Reemplaza a la edición 2025 y reordena varios riesgos: la agencia excesiva sube al tercer lugar, el consumo sin límites sube al sexto, el manejo inadecuado de salidas baja al décimo y la fuga del prompt de sistema se amplía como exposición de contexto oculto. La inyección de prompts sigue en el primer puesto.
¿Qué diferencia hay entre el OWASP Top 10 web y el de LLMs?
El Top 10 web cubre riesgos de cualquier aplicación web, como control de acceso roto o inyección. El de LLMs cubre riesgos que aparecen al integrar modelos de lenguaje: manipulación por texto, fugas por el contexto del modelo, agentes con demasiados permisos o costos descontrolados. No se reemplazan: una aplicación con IA necesita cumplir ambos, porque sigue siendo una aplicación web con API.
¿Mi chatbot de atención al cliente necesita un pentest de IA?
Si solo responde preguntas frecuentes sin acceso a datos de clientes, el riesgo es bajo y bastan buenas prácticas y pruebas básicas. Si consulta pedidos, cuentas o datos personales, o puede ejecutar acciones, sí conviene una prueba específica antes de producción. El factor decisivo es qué datos ve y qué acciones puede ejecutar, no el tamaño de tu empresa.
¿Usar un modelo de un proveedor grande me protege de estos riesgos?
Solo en parte. Los proveedores mejoran la resistencia de sus modelos, pero la mayoría de riesgos del Top 10 dependen de cómo construyes la aplicación: qué permisos das, qué datos conectas, cómo validas las salidas y qué límites de uso configuras. La responsabilidad de esa capa es tuya y de tu equipo de desarrollo, no del proveedor del modelo.
¿Qué relación tiene la LOPDP con la seguridad de la IA generativa?
Si tu aplicación de IA trata datos personales, la LOPDP te exige medidas de seguridad adecuadas al riesgo y gestionar las vulneraciones. Riesgos como la divulgación de información sensible o las debilidades en bases vectoriales pueden convertirse directamente en una vulneración de datos personales. Aplicar el OWASP Top 10 para LLMs es una forma concreta y documentable de demostrar esas medidas.
Conclusión
El OWASP Top 10 para LLMs 2026 confirma un cambio: el riesgo ya no está solo en lo que el modelo dice, sino en lo que puede hacer y en los datos a los que llega. La inyección de prompts sigue siendo el primer riesgo y no tiene solución definitiva, por eso los controles que más pesan son de arquitectura: mínimo privilegio, aprobación humana, validación de salidas y límites de uso.
Si vas a lanzar o ya operas una aplicación con IA, nuestro servicio de ciberseguridad incluye pruebas de seguridad específicas para LLM y agentes basadas en OWASP. Agenda una consulta gratuita y definimos el alcance adecuado para tu caso.