Su asistente no es una aplicación web con un modelo detrás: es un componente no determinista con permisos, que lee contenido que usted no controla y actúa sobre sistemas que sí le importan. Eso rompe casi todos los supuestos sobre los que está construido su modelo de autorización.
Si su modelo solo responde preguntas sobre documentación pública y no toca nada, el riesgo es reputacional y se cubre con mucho menos que esto. La conversación cambia en cuanto el sistema lee datos ajenos, invoca herramientas o habla con clientes en nombre de usted.
Lo mismo que en cualquier otro encargo, con una diferencia importante: aquí los hallazgos llevan tasa de éxito, no un sí o un no.
Un sistema no determinista no falla siempre ni nunca. Cada hallazgo se prueba un número acordado de veces y se entrega con su tasa —«17 de 40 intentos»—, la plantilla exacta y las transcripciones completas. Es la única forma de que su equipo verifique la corrección y de que se pueda medir si ha mejorado.
Qué puede conseguir un tercero contra su asistente, con qué esfuerzo y qué decisión hay que tomar. Sin jerga de modelos, porque quien firma el presupuesto no la tiene por qué conocer.
Cada hallazgo referenciado a la taxonomía correspondiente, para que su informe sea comparable con el de cualquier otro auditor y con el de la próxima revisión.
Qué se resuelve en el prompt del sistema, qué en la barrera de entrada o salida, qué en el modelo de autorización y qué solo se resuelve quitándole un permiso al agente. La distinción importa: casi todo lo que se intenta arreglar en el prompt se vuelve a romper.
El conjunto de casos que se han usado, en formato ejecutable, para que pueda pasarlo usted en cada despliegue. Un modelo cambia de comportamiento al actualizarse, aunque usted no toque una línea.
Dos horas con quien construye el sistema, reproduciendo los hallazgos en directo. Es donde se entiende de verdad por qué la barrera que tenían puesta no servía.
El orden importa. La mayor parte del riesgo real no está en el modelo sino en lo que hay conectado a él, así que el trabajo empieza por el inventario de permisos y no por el prompt.
Qué modelo, qué herramientas puede invocar, con qué identidad, sobre qué datos y qué entra en el contexto. El inventario de permisos efectivos del agente suele ser el primer hallazgo del encargo.
Extracción del prompt del sistema, evasión de las instrucciones y —lo que de verdad importa— inyección desde el contenido que el sistema ingiere: documentos, correo, páginas, tiques. El atacante no necesita hablar con el asistente si el asistente lee algo suyo.
Fuga del corpus RAG, acceso a documentos de otro usuario o de otro inquilino, y recuperación de información que estaba en el contexto de una conversación ajena.
Invocación no autorizada de funciones, encadenado de acciones, delegado confuso y exfiltración por el canal de salida —imágenes en markdown, enlaces, peticiones salientes—, que es la vía por la que los datos salen sin que nadie vea una alerta.
Procedencia de pesos y adaptadores, servidores MCP y complementos de terceros, y coste por consulta: la denegación de servicio por factura es real y casi nunca está en el modelo de amenazas.
Repetición estadística de cada hallazgo, informe, sesión técnica y batería de regresión.
Se solapan pero no son lo mismo. Este servicio busca cobertura: enumerar el máximo de debilidades explotables en el sistema de IA, con su equipo al corriente. Un red team con componente de IA usa el asistente como uno más de los vectores para alcanzar un objetivo de negocio, con sigilo y sin avisar. Si nunca ha auditado el asistente, empiece por aquí: el red team le costará más y le dirá lo mismo.
Porque el sistema es no determinista. La misma entrada puede funcionar una vez de cada tres, y un informe que diga «vulnerable» sin decir con qué frecuencia no permite ni priorizar ni comprobar la corrección. Nosotros ejecutamos cada caso un número acordado de veces y entregamos la tasa. Es más trabajo y es la única forma honesta de medirlo.
Ayuda contra el uso indebido evidente y no resuelve el problema de fondo, que es de autorización. Una barrera filtra texto; no impide que el agente invoque una herramienta con permisos que no debería tener. Si el modelo puede leer la base de datos entera, ninguna barrera de salida va a arreglar eso de forma fiable.
Entre dos y cuatro semanas para un asistente con herramientas y RAG. Necesitamos un entorno de preproducción equivalente al de producción, credenciales de al menos dos usuarios con permisos distintos —el aislamiento no se prueba con una sola cuenta— y documentación de las herramientas expuestas. Si solo hay producción, se acuerda ventana y criterio de parada.
Es una de las piezas. El artículo 15 exige a los sistemas de alto riesgo un nivel adecuado de precisión, robustez y ciberseguridad, y menciona expresamente el envenenamiento de datos y de modelos, los ejemplos adversarios y la evasión del modelo. Las obligaciones para alto riesgo del anexo III se aplican desde diciembre de 2027 y las del anexo I desde agosto de 2028, así que hay margen para llegar ordenado en lugar de a última hora.
Sí, donde aporta: cobertura de superficie, generación de variantes y triaje. No para decidir. Ninguna herramienta emite un veredicto en nuestros informes; cada hallazgo se reproduce y se verifica a mano antes de entrar. Esa es exactamente la parte que un supervisor examina y la que sigue teniendo nombre y apellidos.
Describa el entorno y el motivo del encargo. Le respondo con la modalidad recomendada y el orden de esfuerzo estimado.