¿Puede alguien disparar tu factura, agotar tu servicio o clonar tu modelo entrando por la puerta principal?
Baseline: 2Enhanced: 2Advanced: 26 controles
A quién se aplica
Se entra en cada sistema de IA. Llega hasta donde alcance la letra del sistema, e implántalo en tu modo.
Por qué existe
Todas las áreas anteriores defienden a la IA de que la manipulen; esta la defiende de que la usen en exceso. Un servicio de IA que se factura por petición y al que pueden llegar muchos está expuesto a una familia de ataques que no tocan el comportamiento del modelo: inundarlo de peticiones hasta que el servicio se cae, o hasta que se cae la factura; fabricar consultas deliberadamente caras que consumen mucho más cómputo del que devuelven; y, cuando el propio modelo tiene valor, interrogarlo de forma sistemática para reconstruir una copia, o cosechar sus respuestas para entrenar un clon funcional. Son ataques a la disponibilidad, al coste y a la propiedad intelectual encarnada en el modelo, y los límites de ritmo convencionales, escritos para tráfico web corriente, nunca se dimensionaron para lo cara que puede ser una sola petición de IA ni para lo clonable que es un modelo.
El precio por uso de la IA alojada es lo que convierte una avalancha de peticiones en un ataque financiero: una red de equipos comprometidos apuntando a tu asistente ya no solo lo ralentiza, sino que gasta tu dinero, un resultado lo bastante característico como para haberse ganado su propio nombre: vaciado de cartera. Trata aquí la disponibilidad, el coste y la confidencialidad del modelo como propiedades de seguridad, no como asuntos de facturación que ya notará alguien a fin de mes.
Qué hacer
Pon tope a cuánto puede consumir cada quien llama, en peticiones y en coste, no solo en conexiones. Limita el ritmo y fija cuotas contra la identidad de quien llama (las identidades que estableciste en el área de identidad), y no solo contra una dirección de red por la que un atacante puede ir rotando. Un límite que se reinicia por dirección no es límite alguno para quien tiene mil direcciones; uno ligado a la identidad autenticada, sí.
Pon un techo al gasto, y avisa bastante antes de alcanzarlo. Fija límites de presupuesto firmes por sistema y, cuando puedas, por quien llama, y levanta una alerta ante el gasto anómalo a medida que ocurre, no en la factura. La organización que descubre un ataque de vaciado de cartera por su factura mensual lo descubre un mes tarde.
Acota el tamaño y el coste de una sola petición. Rechaza entradas que pasen de una longitud razonable, pon tope a cuánto puede producir una sola llamada y a cuánto trabajo puede desencadenar, y corta o frena por tiempo las consultas que resulten inusualmente caras. Una sola petición fabricada nunca debería poder consumir los recursos de miles.
Vigila el patrón de quien está copiando el modelo. Reconstruir un modelo interrogándolo, o cosechar suficientes respuestas suyas para entrenar un clon, deja una huella distinta de la del uso corriente: un barrido sistemático del espacio de entradas, o un volumen de extracción muy por encima de cualquier tarea real. Allí donde el modelo o lo que aprendió merezca la pena robarse, detecta y frena ese patrón; y no repartas las probabilidades en bruto ni el resto de detalle interno que hacen la extracción más fácil de lo necesario.
Decide por adelantado cómo cede el sistema bajo carga. Cuando la demanda o un ataque superan la capacidad, un sistema debería soltar carga en un orden elegido y mantener viva su función más importante, en vez de derrumbarse entero. Decide qué se degrada primero, constrúyelo para que se degrade así y pruébalo: la alternativa es averiguarlo durante el incidente.
Controles
Baseline2 controles
Control 141
Aplica límites de frecuencia y cuotas de uso por identidad en cada servicio de IA.
BaselinePreventivotodos los rolespor sistema
Qué es
Vinculados al llamante autenticado, no solo a una dirección de red.
Cómo implantarlo · Reglas mínimas
Todo llamante está autenticado (usuario, aplicación o clave); sin acceso anónimo a servicios de IA de pago
Límite de frecuencia por identidad: peticiones por minuto, fijado en unas pocas veces el pico normal de uso
Cuota por identidad: peticiones o tokens por día o por mes
Claves separadas por aplicación o equipo, para atribuir y limitar el uso
Al alcanzar el límite: rechaza con un mensaje claro, regístralo y alerta si se repite
Cómo arrancar
Revisa un mes de uso por usuario o clave y fija los límites en unas pocas veces el mayor uso normal.
Evidencia
La configuración de límites y cuotas por identidad y el registro de límites alcanzados.
Modo: ligero / estándar / completo
ligero
Usa los ajustes de límites por usuario o por clave del proveedor y emite una clave por aplicación.
estándar
La pasarela de IA aplica límites por identidad autenticada, fijados por el responsable del sistema.
completo
Los límites se gestionan de forma central en las plataformas de identidad y de pasarela, con niveles por tipo de llamante y alertas automáticas.
Control 142
Acota el tamaño de la entrada, la longitud de la salida y el coste por solicitud, con tiempos de espera máximos en las llamadas costosas.
BaselinePreventivotodos los rolespor sistema
Qué es
Una sola solicitud no puede consumir recursos desproporcionados respecto de su tarea.
Cómo implantarlo · Reglas mínimas
Entrada: longitud máxima por petición y tamaño máximo de fichero
Salida: máximo de tokens por respuesta
Trabajo por petición: tope de llamadas a herramientas, documentos recuperados y pasos o bucles del agente
Tiempo límite: corta las llamadas que superen una duración fijada y limita los reintentos automáticos
Coste: rechaza o ralentiza las peticiones cuyo coste estimado supere un tope por petición
Cómo arrancar
Fija el ajuste de salida máxima del proveedor y un límite de longitud de entrada en tu aplicación, según la petición legítima más larga que observes.
Evidencia
Los límites configurados de entrada, salida, trabajo y coste, y los tiempos límite.
Modo: ligero / estándar / completo
ligero
Usa los ajustes integrados del proveedor para salida máxima y tiempos límite, fijados por quien configuró el servicio.
estándar
Los límites se fijan en la aplicación o en la pasarela de IA por sistema y se revisan cuando cambia el uso.
completo
La plataforma impone los límites de forma central por sistema y llamante, con estimación de coste antes de cada llamada.
Enhanced2 controles
Control 143
Fija límites de gasto estrictos con alertas de anomalías frente a la denegación de cartera (denial of wallet).
EnhancedPreventivotodos los rolespor sistema
Qué es
Por sistema y, cuando sea viable, por llamante, con alertas en cuanto el gasto se desvía y no al facturar.
Cómo implantarlo · Reglas mínimas
Presupuesto máximo por sistema que detiene o ralentiza el uso al alcanzarlo
Presupuestos por llamante cuando el proveedor o la pasarela lo permitan
Alertas de umbral al 50 %, 80 % y 100 % del presupuesto
Alerta de ritmo de gasto: gasto por hora muy por encima de lo normal (p. ej., el triple del habitual)
Las alertas llegan a una persona nombrada con autoridad para suspender al llamante; registra cada respuesta
Cómo arrancar
Fija un tope mensual y una alerta de ritmo de gasto por hora en los ajustes de facturación del proveedor para cada sistema en producción.
Evidencia
Los límites de presupuesto, la configuración de alertas de gasto anómalo y los registros de respuesta.
Modo: ligero / estándar / completo
ligero
Usa los topes y alertas de facturación del proveedor, enviados al teléfono y correo de la dirección.
estándar
Finanzas y el responsable del sistema comparten presupuestos por sistema, con límites por llamante en la pasarela y alertas al equipo de operaciones.
completo
Una función de gestión de costes sigue el gasto en tiempo real en todos los proveedores, con detección de anomalías enviada a la monitorización de seguridad.
Control 144
Restringe la exposición en las respuestas de las probabilidades brutas y de otros detalles que faciliten la extracción.
EnhancedPreventivotodos los rolespor sistema
Qué es
Proporciona lo que necesita el caso de uso y nada más de la señal interna del modelo.
Cómo implantarlo · Reglas mínimas
No devuelvas probabilidades de tokens, puntuaciones en bruto ni vectores salvo que el caso de uso lo exija
Si hace falta una puntuación, redondéala o devuelve una etiqueta o franja
No expongas a los llamantes las instrucciones del sistema, la configuración del modelo ni trazas internas de razonamiento
Mensajes de error genéricos: sin trazas de pila, nombres de modelo ni configuración
Revisa el formato de respuesta por caso de uso y elimina los campos que no se usan
Cómo arrancar
Examina la respuesta completa que tu servicio devuelve a los llamantes y elimina todo campo que la interfaz o el cliente no use.
Evidencia
El formato de respuesta documentado por caso de uso y la configuración que restringe el detalle.
Modo: ligero / estándar / completo
ligero
Quien configuró el servicio desactiva las opciones de probabilidades y detalle en los ajustes del proveedor y revisa una respuesta de muestra.
estándar
Los formatos de respuesta se definen por integración y se comprueban en la revisión de publicación.
completo
La pasarela impone una lista de campos permitidos por caso de uso, verificada con pruebas automáticas.
Advanced2 controles
Control 145
Detecta y limita los patrones de extracción y clonación de modelos en los modelos de alto valor.
AdvancedDetectivotodos los rolespor sistema
Qué es
Los barridos sistemáticos de consultas y los volúmenes anómalos de recolección generan alertas y se someten a límites de frecuencia.
Cómo implantarlo · Reglas mínimas
Aplícalo a modelos que valga la pena robar: entrenados o adaptados por ti, o cuyo comportamiento contiene conocimiento valioso
Fija el uso normal por identidad: volumen, diversidad de consultas, horario
Detecta barridos sistemáticos del espacio de entrada, consultas casi idénticas en volumen, recolección muy superior a cualquier tarea, cuentas coordinadas
Respuesta: ralentización progresiva, alerta a la monitorización de seguridad, suspensión pendiente de revisión
Revisa con regularidad alertas y ralentizaciones erróneas y ajusta los umbrales
Cómo arrancar
Relaciona qué modelos vale la pena robar y calcula el volumen y la diversidad diarios de consultas de cada llamante para detectar valores atípicos.
Evidencia
Las reglas de detección de extracción, sus activaciones y las ralentizaciones aplicadas.
Modo: ligero / estándar / completo
ligero
Un servicio contratado o la detección de abusos del proveedor vigila el uso, y quien lidera la IA revisa un informe mensual de uso por llamante.
estándar
La pasarela aplica reglas de volumen y diversidad por identidad y el equipo de seguridad revisa las alertas.
completo
Modelos de detección dedicados puntúan a los llamantes de forma continua, con ralentización automática e investigación por el centro de operaciones de seguridad.
Control 146
Diseña una degradación controlada bajo carga, con el orden de descarte decidido de antemano.
AdvancedCorrectivotodos los rolespor sistema
Qué es
Se preserva la función más importante; el diseño se prueba, no se da por supuesto.
Cómo implantarlo · Pasos
Ordena las funciones del sistema por importancia y nombra la que debe mantenerse viva
Fija el orden de descarte, p. ej., tareas por lotes y llamantes de baja prioridad, luego respuestas más cortas, luego respuestas en caché
Fija los disparadores: umbrales de carga, latencia, tasa de errores o gasto
Construye los mecanismos: colas con prioridad, cuotas por tipo, cortacircuitos, un modelo alternativo
Prueba con test de carga o caída simulada del proveedor y registra el resultado
Cómo arrancar
Redacta en una página el orden de descarte de un sistema crítico con su responsable y prueba el primer paso con carga simulada.
Evidencia
El diseño de degradación, sus disparadores y los registros de prueba fechados.
Modo: ligero / estándar / completo
ligero
Un orden de descarte de una página acordado con la dirección, apoyado en los ajustes de prioridad y alternativa del proveedor y probado una vez.
estándar
El equipo de ingeniería integra el orden de descarte en la aplicación y la pasarela y lo prueba antes de cada publicación importante.
completo
La degradación forma parte de la arquitectura de resiliencia y se prueba en ejercicios periódicos de carga y fallo con objetivos formales.
Evidencia
La configuración de límites de ritmo y cuotas ligada a la identidad; los límites de entrada, de salida y de coste; los límites de presupuesto y las alertas de gasto anómalo; las restricciones sobre el detalle de las respuestas; las reglas de detección de extracción y sus activaciones; el diseño de degradación y sus registros de prueba.