Cómo proteger los LLM de ataques semánticos: por qué el firewall tradicional se queda corto

Los sistemas LLM son una superficie de ataque radicalmente nueva. La defensa ya no actúa a nivel de protocolos (inyecciones HTTP, XSS), sino a nivel semántico: entender el sentido y el contexto de cada solicitud al modelo.

El firewall tradicional ya no basta

Un WAF (Web Application Firewall) clásico está diseñado para defender frente a la explotación de protocolos web: detecta patrones conocidos como inyecciones SQL, XSS o path traversal. Su tarea es sencilla: bloquear a nivel HTTP una solicitud sintácticamente maliciosa.

Pero los sistemas LLM siguen otras reglas. Una solicitud maliciosa puede ser sintácticamente impecable y atravesar cualquier filtro tradicional, porque su peligro no está en la forma, sino en el significado. La red neuronal entenderá que le piden algo dañino y lo ejecutará.

En un informe presentado en la cumbre RSAC 2025, la Cloud Security Alliance fue tajante: «proteger los prompts es solo una parte del problema, no su solución». Confiar únicamente en la validación de entradas ya no es eficaz.

La magnitud de la amenaza: el marco MITRE ATLAS

El marco MITRE ATLAS cataloga más de 80 técnicas de ataque dirigidas específicamente contra sistemas de IA. No son simples adaptaciones de ciberataques clásicos, sino una clase de amenazas totalmente nueva:

• Prompt injection: sustitución de las instrucciones del modelo desde dentro de la solicitud
• Data poisoning: contaminación de los datos de entrenamiento para desviar el comportamiento del modelo
• Model extraction: robo de la arquitectura, los pesos y la lógica del modelo
• Supply chain attacks: compromiso de dependencias y datos durante el desarrollo
• Adversarial inputs: ejemplos hostiles diseñados específicamente para confundir a la red neuronal

Cada una de estas técnicas exige un enfoque de defensa propio. Ignorar un abanico tan amplio de amenazas especializadas supone arriesgar no solo los datos de los usuarios, sino la integridad del propio modelo.

Cómo funciona un AI/LLM Firewall

Un AI/LLM Firewall opera en un plano completamente distinto al de los filtros tradicionales. En lugar de buscar patrones maliciosos conocidos en la sintaxis, analiza el contexto y la semántica de cada solicitud. El sistema entiende qué le pide exactamente el usuario al modelo y puede bloquear instrucciones peligrosas en tiempo real.

«Proteger los prompts es solo una parte del problema, no su solución» —

Cloud Security Alliance, RSAC 2025

Una solución así se integra en la infraestructura SOC (Security Operations Center) existente sin necesidad de rehacerla por completo. Permite implementar cerca del 70 % de las medidas de protección necesarias, como capa intermedia entre el usuario y el modelo LLM. Es un punto clave: rehacer por completo los sistemas de seguridad no es viable, de modo que el AI/LLM Firewall funciona como un nivel adicional de control.

Qué significa esto

Los sistemas LLM ya no pueden apoyarse solo en la seguridad tradicional. Los filtros especializados de nueva generación pasan a ser una parte obligatoria de la infraestructura. Las empresas que usan LLM en producción deben replantear todo su enfoque de defensa: pasar de proteger protocolos y sintaxis a proteger la semántica y el significado.