Pentest de IA y LLM
El pentest de IA es la prueba de penetración de sistemas de inteligencia artificial: chatbots, asistentes, agentes y aplicaciones con LLM. Berghem simula a un atacante real contra el modelo, el pipeline RAG, los plugins y la infraestructura, cubriendo las diez categorías del OWASP LLM Top 10, y entrega evidencia reproducible con un plan de corrección priorizado.
Metodología de pentest de LLM
Cuatro fases que recorren tus modelos, agents y pipelines de RAG por todo el OWASP LLM Top 10 — de LLM01 a LLM10 — con evidencia reproducible en cada etapa.
¿Necesitas validar también detección y respuesta? Mira el Red Team para IA, la campaña adversarial completa que encadena las fallas encontradas en el pentest hasta el objetivo del atacante.
Mapear la superficie del modelo
Endpoints, system prompts, plugins, RAG y flujo de datos — documentados antes del primer test.
surface_map.jsonProbar las diez categorías
Prompt injection, output handling, data poisoning, model DoS — cobertura sistemática y reproducible.
findings.md · 10/10Auditar el stack que sustenta el modelo
Gateways, model serving, vector DBs, secretos y aislamiento — donde viven la mayoría de las fallas críticas.
stack_audit.logTraducir hallazgos en decisiones
Severidad, explotabilidad e impacto al negocio en una matriz que prioriza qué corregir primero.
risk_matrix.csv¿Qué cubre el OWASP LLM Top 10?
Cada categoría se ejercita con técnicas reales observadas en incidentes 2025–26, con PoC reproducible y clasificación de riesgo AI-VRM.
Prompt Injection
Ataques directos e indirectos que manipulan el comportamiento, sortean guardrails o disparan acciones no intencionadas.
Manejo Inseguro de Salida
Fallas de validación que llevan a XSS, SSRF, ejecución de código o escalada en sistemas downstream.
Envenenamiento de Entrenamiento
Manipulación de datos de pre-entrenamiento, fine-tuning o embedding para introducir sesgos o backdoors.
Denegación de Servicio del Modelo
Operaciones intensivas que degradan el rendimiento, inflan costos o interrumpen el servicio.
Supply Chain
Modelos pre-entrenados, datasets, plugins y extensiones de terceros que introducen vulnerabilidades.
Divulgación de Datos Sensibles
Exposición de PII, secretos o system prompts vía respuestas o canales laterales.
Diseño Inseguro de Plugins
Integraciones de herramientas que permiten acciones no autorizadas o ejecución de código.
Agencia Excesiva
Sistemas con permisos o autonomía más allá del scope previsto — explotables para acciones arbitrarias.
Dependencia Excesiva
Confianza en salidas del LLM sin validación — desinformación, vulnerabilidades, decisiones incorrectas.
Robo de Modelo
Extracción, replicación o exfiltración no autorizada de modelos propietarios y pesos.
Qué recibes
Nada de informe genérico. Cada entregable se dirige al público adecuado — desde el board hasta el ingeniero.
Resumen para el board
Análisis de impacto al negocio, principales riesgos y exposición financiera — en 2 páginas, lenguaje C-suite.
board_summary.pdfHallazgos con PoC
Cada vulnerabilidad con prueba de concepto reproducible, logs request/response y clasificación CVSS+AI-VRM.
findings_full.mdMatriz AI-VRM
Severidad × explotabilidad × impacto, con priorización P0/P1/P2 y SLA sugerido por categoría.
risk_matrix.csvPlan 30/60/90
Acciones concretas por hallazgo, con dueño, esfuerzo y ventana. Incluye workshop de readout con su equipo.
remediation_plan.xlsxTécnicas de ataque de IA que probamos
Reproducimos las técnicas vistas en incidentes reales de 2025–26 contra tus modelos, agents y pipelines de RAG — no un escaneo de checklist.
Prompt injection directo e indirecto — Sobrescribir instrucciones vía entrada del usuario o vía contenido envenenado que el modelo recupera de documentos, herramientas o fuentes RAG.
Jailbreaks y bypass de guardrails — Técnicas de role-play, encoding y multiturno que vencen los filtros de seguridad y las restricciones del system prompt.
Exfiltración de system prompt y datos de entrenamiento — Extraer instrucciones ocultas, secretos y datos memorizados desde las respuestas y canales laterales.
Denegación de servicio de modelo — Prompts de agotamiento de recursos y amplificación de costo que degradan la disponibilidad o inflan la factura de inferencia.
Manejo inseguro de salida y abuso de herramientas — Encadenar la salida del modelo en XSS, SSRF o ejecución de código en sistemas downstream e integraciones de plugins.
Excessive agency y envenenamiento de RAG — Abusar de agents con permisos excesivos y bases de conocimiento envenenadas para disparar acciones no intencionadas y de alto impacto.
Pentest tradicional vs pentest de IA
El pentest tradicional y el pentest de IA comparten el método adversarial, pero difieren en el objetivo, las clases de falla y el criterio de éxito. La tabla siguiente resume las diferencias que cambian la forma de planificar, ejecutar y repetir la prueba.
| Dimensión | Pentest tradicional | Pentest de IA |
|---|---|---|
| Objetivo | Aplicaciones web, APIs, redes e infraestructura | Modelos y LLMs, pipelines RAG, agentes con herramientas y el stack que los sirve |
| Clases de falla | OWASP Top 10 web: inyección SQL, XSS, control de acceso roto, SSRF | OWASP LLM Top 10: prompt injection, jailbreak, fuga de datos, agencia excesiva |
| Herramientas | Scanners, proxies, exploits y fuzzers deterministas | Payloads de prompt, harnesses de jailbreak, análisis de embeddings y fuzzing semántico |
| Criterio no determinista | Comportamiento determinista: la falla se reproduce igual en cada ejecución | La misma entrada puede generar respuestas distintas, exigiendo muestreo y repetición para confirmar la falla |
| Frecuencia de retest | Tras correcciones y cambios relevantes de release | En cada cambio de modelo, system prompt, base de conocimiento RAG o conjunto de herramientas del agente |
Pentest manual vs AI red teaming automatizado
Las herramientas automatizadas escalan la cobertura de patrones conocidos; la prueba manual encuentra las fallas de lógica de negocio y encadenadas que importan. Berghem combina ambos, liderado por humanos.
| Dimensión | Pentest manual Berghem | AI red teaming automatizado |
|---|---|---|
| Cobertura | Prueba profunda y sensible al contexto de tus modelos, agents y flujos de datos | Escaneo amplio y rápido de patrones conocidos de prompt injection y jailbreak |
| Fallas de lógica y encadenadas | Encontradas — los testers encadenan debilidades hacia un objetivo real | Rara vez encontradas — limitadas a firmas predefinidas |
| Falsos positivos | Triados y validados a mano | Más altos — requieren revisión humana |
| Prueba de explotación | Prueba de concepto reproducible por hallazgo | A menudo alerta sin un exploit funcional |
| Orientación de corrección | Plan 30/60/90 priorizado y a medida | Recomendaciones genéricas |
| Evidencia de cumplimiento | Mapeada al OWASP LLM Top 10 y a frameworks de gobernanza de IA | Parcial, dependiente de la herramienta |
Cómo el pentest de IA apoya la gobernanza de IA
Los hallazgos se mapean a los frameworks que tus auditores y reguladores esperan, para que un pentest sirva también como evidencia de tu programa de gobernanza de IA.
EU AI Act — Evidencia de prueba adversarial y gestión de riesgo para sistemas de IA de alto riesgo colocados en el mercado de la UE — apoyado en Europa por Berilo.
ISO/IEC 42001 — Controles demostrables para el sistema de gestión de IA, incluyendo prueba, monitoreo y mejora continua de los riesgos de IA.
NIST AI RMF — Cobertura de las funciones Measure y Manage con evidencia concreta y comprobada por exploit de los riesgos de IA y sus mitigaciones.
Pentest de IA vs Red Team para IA
El pentest de IA busca amplitud: cobertura sistemática y reproducible de las diez categorías del OWASP LLM Top 10 en toda la superficie del sistema, con una lista priorizada de vulnerabilidades. El Red Team para IA busca profundidad: una campaña adversarial orientada a un objetivo de negocio, que encadena fallas hasta el impacto final y mide si la defensa detecta y responde al ataque.
Ambos se complementan — usa el pentest para mapear dónde eres vulnerable y el Red Team para IA para validar que tus controles de detección y respuesta resisten un ataque real y encadenado.
Pentest con IA: Berghem Agents
Berghem también aplica inteligencia artificial a su propio proceso ofensivo, combinando operadores humanos con agentes autónomos de seguridad.
Los Berghem Agents automatizan el reconocimiento, la generación y mutación de payloads y el triaje de hallazgos para ampliar la cobertura del pentest — siempre bajo supervisión de especialistas humanos, que validan cada vulnerabilidad y descartan falsos positivos. Así ejercitamos más variaciones de ataque en menos tiempo, sin renunciar a la prueba de concepto reproducible y al plan de corrección priorizado que definen un pentest de IA de Berghem.
Pentest de IA/LLM — preguntas frecuentes
¿Qué es el pentest de IA?
¿En qué se diferencia del pentest de aplicaciones tradicional?
¿Cuánto dura un pentest de IA y cuánto cuesta?
¿Qué estándares sigue la evaluación?
¿Qué recibimos al final?
¿Cuál es la diferencia entre pentest de IA/LLM y AI Red Team?
¿Listo para probar tus sistemas de IA antes que los atacantes?
Agende un pentest de IA/LLM y obtenga una visión completa de su superficie de ataque — desde prompt injection hasta robo de modelo.
Solicitar pentest de IA