OWASP Top 10 LLM 2025: los 10 riesgos de las aplicaciones de IA explicados para empresas

El OWASP Top 10 para aplicaciones LLM es la lista de referencia de los diez riesgos de seguridad más importantes en sistemas que usan modelos de lenguaje: chatbots, agentes de IA, asistentes internos y RAG. La publica el OWASP Gen AI Security Project, la rama de inteligencia artificial de OWASP, la misma comunidad abierta que mantiene desde hace años el conocido Top 10 de seguridad web. Si tu empresa va a poner un agente a leer correos, responder por WhatsApp o consultar el ERP, esta lista es el mejor punto de partida para saber qué puede salir mal.

Qué es OWASP y por qué importa esta lista

OWASP (Open Worldwide Application Security Project) es una fundación sin ánimo de lucro que publica guías abiertas de seguridad de aplicaciones. Su Top 10 para LLM no es una norma legal, pero es el lenguaje común que usan equipos de seguridad, proveedores y auditores para hablar de riesgos de IA.

Para una empresa tiene dos utilidades prácticas:

• Como lista de comprobación al diseñar o contratar un proyecto de IA: ¿qué hace el proveedor frente a cada riesgo?
• Como marco para priorizar: no todos los riesgos pesan igual en un chatbot informativo que en un agente con permisos de escritura en el ERP.

Encaja con marcos más amplios como el perfil de IA generativa del NIST (NIST AI 600-1), que señala que la IA generativa amplía la superficie de ataque porque ella misma es vulnerable a ataques como la inyección de prompts o el envenenamiento de datos.

Los 10 riesgos de la versión 2025, de un vistazo

Vamos uno por uno.

LLM01: Prompt Injection (inyección de prompts)

La inyección de prompts ocurre cuando una entrada altera el comportamiento del modelo de forma no prevista. Puede ser directa (el usuario escribe «ignora tus instrucciones…») o indirecta (las instrucciones vienen escondidas en un correo, una web o un PDF que el agente lee). OWASP reconoce que no está claro que exista un método infalible para prevenirla.

Ejemplo. Un agente que resume la bandeja de entrada recibe un correo con texto oculto que le pide reenviar las facturas recientes a una dirección externa.

Control práctico. No confiar en el modelo para frenarlo: permisos mínimos, herramientas acotadas, aprobación humana en acciones sensibles y sin canales libres para sacar datos. Lo explicamos a fondo en qué es la prompt injection y cómo defenderse.

LLM02: Sensitive Information Disclosure (divulgación de información sensible)

Este riesgo es que la aplicación exponga en sus respuestas datos personales, financieros, de salud, credenciales o información confidencial del negocio. Según OWASP LLM02, puede ocurrir por descuido (datos mal filtrados) o por ataque.

Ejemplo. Un chatbot de soporte por WhatsApp consulta el CRM sin filtrar por cliente y, ante una pregunta hábil, devuelve datos de otra persona.

Control práctico. El agente consulta con los permisos del usuario que pregunta, nunca con un acceso global. Se minimizan los datos que entran en el contexto, se enmascaran los que no hacen falta (DNI, IBAN) y se evita que los errores técnicos muestren detalles internos. En términos de RGPD, es la minimización de datos aplicada a la IA.

LLM03: Supply Chain (cadena de suministro)

La cadena de suministro de una aplicación LLM incluye el modelo, los datos de entrenamiento, las librerías, los modelos descargados de repositorios públicos, los ajustes finos (LoRA) y las plataformas donde se despliega. OWASP LLM03 advierte de que cualquiera de esas piezas puede estar manipulada.

Ejemplo. Para un proyecto de IA privada se descarga un modelo abierto de un repositorio público sin verificar su origen, o se instala una librería con un nombre parecido al de la oficial que contiene código malicioso. Lo mismo aplica a conectores y servidores MCP de terceros, que tratamos en seguridad en MCP.

Control práctico. Inventario de componentes (modelos, librerías, versiones y licencias), fuentes verificadas con firmas o hashes, revisión de las condiciones de los proveedores (dónde procesan los datos, si los usan para entrenar) y actualizaciones controladas.

LLM04: Data and Model Poisoning (envenenamiento de datos y modelos)

El envenenamiento consiste en manipular los datos con los que se entrena, se ajusta o se alimenta un modelo para introducir sesgos, errores o puertas traseras que se activan con un disparador concreto. OWASP LLM04 lo describe como un ataque a la integridad.

Ejemplo. Una empresa ajusta un modelo con correos y documentos históricos sin revisar su origen, y entre ellos hay contenido manipulado que hace que el modelo dé respuestas incorrectas sobre ciertos productos o proveedores.

Control práctico. Saber de dónde viene cada dato y quién puede modificarlo, versionar los conjuntos de datos para detectar cambios, aislar las fuentes no verificadas y probar el comportamiento del modelo antes y después de cada cambio. En la mayoría de pymes, usar RAG con documentos controlados es más seguro y más fácil de corregir que reentrenar.

LLM05: Improper Output Handling (gestión incorrecta de la salida)

Este riesgo aparece cuando la salida del modelo se pasa a otro sistema sin validarla ni sanearla: un navegador, una base de datos, una terminal o una API. Según OWASP LLM05, puede acabar en ataques clásicos como XSS, SSRF, escalada de privilegios o ejecución remota de código.

Ejemplo. Un asistente interno genera consultas SQL a partir de preguntas en lenguaje natural sobre el ERP y las ejecuta tal cual. Una pregunta manipulada produce una consulta que borra o modifica tablas.

Control práctico. Tratar al modelo como un usuario no confiable: validar su salida contra un formato esperado, usar consultas parametrizadas y usuarios de base de datos de solo lectura, escapar el contenido antes de mostrarlo en una web y aplicar una política de seguridad de contenidos (CSP).

LLM06: Excessive Agency (agencia excesiva)

La agencia excesiva es darle al agente más funciones, más permisos o más autonomía de los que necesita. OWASP LLM06 distingue las tres causas: funcionalidad excesiva, permisos excesivos y autonomía excesiva. Es el riesgo que convierte un error o una inyección en un daño real.

Ejemplo. Un agente que solo debía leer documentos usa un conector que también permite modificarlos y borrarlos, y lo hace sin pedir confirmación.

Control práctico. Herramientas específicas en lista blanca (nada de «ejecuta cualquier comando» o «abre cualquier URL»), permisos de solo lectura cuando sea posible, autorización comprobada en el sistema de destino y no en el modelo, y aprobación humana en acciones de alto impacto. Lo desarrollamos en credenciales y permisos de los agentes de IA y en el harness de los agentes de IA.

LLM07: System Prompt Leakage (filtración del prompt de sistema)

Este riesgo, nuevo en la versión 2025, recuerda que el prompt de sistema (las instrucciones internas del chatbot o agente) no es un secreto ni un control de seguridad. OWASP LLM07 explica que un atacante puede extraerlo o deducir sus reglas interactuando con la aplicación.

Ejemplo. Un agente lleva en su prompt la clave de API del ERP y la regla «no des descuentos superiores al 10 %». Alguien consigue que lo repita y obtiene la clave y la forma de saltarse la regla.

Control práctico. Nada de credenciales, cadenas de conexión ni estructuras de permisos en el prompt. Las reglas de negocio importantes (límites de descuento, quién puede ver qué) se comprueban en código, fuera del modelo.

LLM08: Vector and Embedding Weaknesses (debilidades de vectores y embeddings)

Este riesgo afecta a los sistemas RAG, los que responden con los documentos de la empresa usando una base de datos vectorial. OWASP LLM08 incluye accesos no autorizados, fugas entre grupos de usuarios que comparten la misma base y documentos envenenados con instrucciones ocultas.

Ejemplo. Un asistente interno indexa en la misma base documentos de dirección y de toda la plantilla. Un empleado pregunta por salarios y el sistema recupera fragmentos de un documento que no debería ver. Otro caso que recoge OWASP: un currículum con texto en blanco sobre blanco que ordena recomendar al candidato.

Control práctico. Permisos por documento aplicados en la búsqueda, no solo en la interfaz; separación por cliente o departamento; validación de los documentos antes de indexarlos y registro de qué se recupera en cada consulta. Lo explicamos en seguridad en sistemas RAG.

LLM09: Misinformation (desinformación)

La desinformación es que el modelo produzca información falsa o engañosa con apariencia creíble, por alucinaciones o por datos incompletos, y que las personas se la crean sin verificar. OWASP LLM09 cita el caso de un chatbot de Air Canada que dio información incorrecta a un viajero y acabó en una reclamación que la aerolínea perdió.

Ejemplo. El chatbot de la web de una empresa inventa una política de devoluciones o un plazo de entrega que no existe, y el cliente lo exige después.

Control práctico. Respuestas basadas en documentos verificados (RAG) y con la fuente citada, instrucción de decir «no lo sé» y derivar a una persona, revisión humana en respuestas con impacto legal o económico y aviso claro de que el usuario habla con una IA. En código generado por IA, verificar que las librerías sugeridas existen y son las oficiales.

LLM10: Unbounded Consumption (consumo sin límites)

El consumo sin límites ocurre cuando la aplicación permite un uso descontrolado del modelo, con efectos en costes, disponibilidad o incluso robo del modelo. OWASP LLM10 habla de denial of wallet: un atacante lanza peticiones masivas o muy costosas para disparar la factura del servicio.

Ejemplo. Un chatbot público sin límites por usuario recibe miles de mensajes largos generados automáticamente y la factura de la API se multiplica de un día para otro.

Control práctico. Límite de tamaño de entrada, cuotas por usuario y por IP, tiempos máximos por petición, presupuesto con alertas en el proveedor del modelo y monitorización del consumo para detectar picos anómalos.

Cómo usar el OWASP Top 10 LLM en tu empresa

El OWASP Top 10 LLM es útil cuando se convierte en preguntas concretas sobre cada sistema de IA que usas o vas a contratar. Un proceso sencillo:

1. Inventario. Qué chatbots, agentes y asistentes de IA hay en la empresa, incluidos los que se usan sin control (lo tratamos en shadow AI en empresas).
2. Clasificación. Para cada uno: qué datos ve, qué contenido externo procesa y qué acciones puede ejecutar.
3. Revisión riesgo a riesgo. Recorre la tabla y anota qué control existe para cada riesgo aplicable. Donde no hay control, hay trabajo.
4. Pruebas. Antes de abrir el sistema a más usuarios, atácalo de forma controlada. Lo explicamos en red teaming de IA.
5. Revisión periódica. Cada nueva herramienta, fuente de datos o canal cambia el análisis.

Si vas a contratar un proyecto, pide al proveedor que te explique cómo trata al menos LLM01, LLM02, LLM06 y LLM08. Si no sabe responder con medidas concretas fuera del modelo, es una señal de alarma.

Cómo te ayudamos en Hive Mind Solutions

En Hive Mind Solutions tomamos el OWASP Top 10 LLM como referencia al diseñar y revisar sistemas de IA. Diseñamos agentes de IA para empresas y sistemas RAG con seguridad por diseño: mínimo privilegio, herramientas acotadas, aprobación humana en las acciones sensibles, permisos por documento y registros de todo lo que hace el sistema. Si ya tienes chatbots o agentes en marcha, los revisamos riesgo a riesgo dentro de nuestro servicio de seguridad y cumplimiento de la IA, y lo completamos con ciberseguridad para el resto de tu infraestructura.

Trabajamos con Claude, OpenAI y modelos abiertos, todo alojado en la UE y cumpliendo el RGPD, con precios muy difíciles de batir y empezando por algo pequeño y medible. Cuéntanos qué sistema de IA quieres revisar y te proponemos por dónde empezar.