Red Team para IA y LLM
Red Team para IA es la simulación de ataques adversariales reales contra sistemas de IA generativa, LLM y agentes: operadores humanos encadenan prompt injection, abuso de herramientas, persistencia y exfiltración para medir si tu detección y respuesta resisten antes de que un atacante lo haga.
Qué es Red Team para IA
Red Team para IA es un ejercicio ofensivo con un objetivo definido — por ejemplo, extraer datos de clientes a través del asistente, ejecutar una transacción no autorizada vía agente o envenenar la memoria de largo plazo de un copiloto — conducido contra el sistema real, en producción o en un entorno equivalente, con reglas de engagement acordadas por escrito.
A diferencia de un scanner o de una batería de prompts automatizados, la campaña la operan personas que adaptan cada paso a lo que el sistema responde. El operador combina prompt injection directa e indirecta, abuso de herramientas y plugins, extracción del system prompt, persistencia en vector stores y canales de comando y control escondidos en documentos recuperados por RAG.
El resultado no es una lista de vulnerabilidades: es la demostración de qué cadenas de ataque funcionan de extremo a extremo contra tu IA generativa, cuánto tardó cada una, qué vio (o no vio) tu SOC y qué controles habrían interrumpido la cadena antes.
Red Team de IA vs pentest de IA
Los dos servicios son complementarios. El pentest de IA mide exposición — cuántas fallas existen y qué tan graves son. El Red Team mide resiliencia — si un adversario con objetivo consigue llegar al final y si te das cuenta a tiempo.
| Criterio | Pentest de IA | Red Team de IA |
|---|---|---|
| Pregunta que responde | ¿Qué vulnerabilidades existen en mi LLM, RAG, plugins e infraestructura? | ¿Un adversario motivado consigue alcanzar un objetivo de negocio sin ser detectado? |
| Métrica principal | Exposición: número, severidad (CVSS) y categoría OWASP LLM Top 10 de cada hallazgo | Resiliencia: cadenas completas hasta el objetivo, tiempo hasta la detección y eficacia de la respuesta |
| Alcance | Definido y amplio: las diez categorías del OWASP LLM Top 10 sobre un sistema delimitado | Definido por objetivo: cualquier camino que lleve al blanco, incluyendo personas, procesos e integraciones |
| Enfoque | Sistemático y de cobertura — busca el máximo de fallas en el tiempo contratado | Orientado a objetivo — encadena fallas como un atacante real, con sigilo y persistencia |
| Duración típica | Cerca de 4 semanas, del kickoff al informe | 4–8 semanas, con fase de explotación continua |
| Participación del SOC | Normalmente avisado; el foco es el sistema, no la detección | Probado — opcionalmente en modo purple team, validando detección y respuesta en vivo |
| Entregable central | Informe de vulnerabilidades con PoC y plan de corrección priorizado | Informe ejecutivo y técnico por cadena de ataque, replay de la campaña y plan de 90 días |
| Cuándo elegir | Antes del lanzamiento, tras cambios relevantes o como control periódico | Cuando el sistema ya pasó por pentest y necesitas validar defensa, detección y respuesta |
¿Aún no pasaste por un pentest? Empieza por el pentest de IA y LLM y evoluciona hacia la campaña de Red Team cuando los controles básicos estén en producción.
El Red Team para IA forma parte de Berghem, la empresa de seguridad en IA para sistemas de IA y LLM en Brasil y LATAM.
¿Cómo funciona una campaña de Red Team de IA?
Una campaña de Red Team de IA recorre cuatro etapas conectadas: reconocimiento, escenarios de ataque, encadenamiento e informe. Operadores humanos conducen cada etapa —la automatización solo los apoya— de modo que la campaña se adapta a lo que sus sistemas realmente hacen, en lugar de seguir una lista de verificación fija.
Hacer Red Team de una aplicación con LLM no es lo mismo que hacer Red Team de una red. La superficie de ataque es el lenguaje: prompts de sistema, documentos recuperados, descripciones de herramientas, memoria del agente y las conversaciones que sus usuarios tienen cada día. Nuestros operadores tratan cada una de esas entradas como un posible punto de entrada y cada salida del modelo como una posible salida de datos o de acciones no autorizadas. El objetivo no es una lista de prompts que hacen que el modelo se comporte mal, sino la demostración de lo que un adversario motivado podría lograr contra su negocio —y si alguien lo notaría mientras ocurre.
Cada campaña comienza con un taller de threat modeling de dos días con su equipo. Juntos inventariamos los sistemas de IA en alcance, identificamos las joyas de la corona que un atacante buscaría —datos de clientes, flujos de transacción, herramientas internas, integraciones privilegiadas— y acordamos objetivos del adversario, reglas de enfrentamiento y criterios de éxito. A partir de ahí, el Red Team opera como lo haría un atacante externo, con un canal directo abierto con su equipo de seguridad durante toda la campaña.
Reconocimiento
Mapeamos la superficie de ataque de IA de afuera hacia adentro: qué modelos están en uso, qué revela el prompt de sistema, qué herramientas y funciones puede llamar el agente, qué fuentes de datos alimentan el pipeline de RAG y qué integraciones de terceros hay detrás. OSINT pasivo y sondeo activo establecen la posición inicial de un adversario realista.
Escenarios de ataque
Usando el OWASP LLM Top 10 y el MITRE ATLAS como mapas de cobertura, diseñamos escenarios ligados a los objetivos acordados en el threat modeling: prompt injection directa e indirecta, jailbreaks y bypass de guardrails, filtración de system prompt y de datos, abuso de herramientas y funciones, envenenamiento de memoria y ataques de cadena de suministro a modelos y paquetes.
Encadenamiento
Los hallazgos aislados se convierten en una operación. Siguiendo la Promptware Kill Chain, encadenamos el acceso inicial en escalada, reconocimiento, persistencia, comando y control, movimiento lateral y cumplimiento del objetivo —demostrando impacto con datos canario, no con registros reales. Aquí es donde el Red Team se diferencia de un pentest: medimos hasta dónde llega un atacante y si su detección y respuesta reaccionan.
Informe
Cada cadena se documenta etapa por etapa con payloads, capturas de pantalla, logs y PoC reproducible. Usted recibe un informe ejecutivo, un informe técnico, un replay interactivo de la campaña y un plan de remediación de 90 días, seguidos de un debrief con sus equipos de ingeniería, seguridad y producto.
¿Qué frameworks guían nuestro Red Team de IA y LLM?
Anclamos cada campaña en tres referencias públicas, para que los hallazgos lleguen en un lenguaje que sus equipos de seguridad, compliance e ingeniería ya comparten.
Promptware Kill Chain
El modelo de siete etapas que usamos para estructurar un ataque de IA desde la primera prompt injection hasta el cumplimiento del objetivo: acceso inicial, escalada, reconocimiento, persistencia, comando y control, movimiento lateral y objetivo. Convierte trucos aislados de prompt en una operación de extremo a extremo que puede medirse, detectarse y reproducirse.
OWASP LLM Top 10
La lista de referencia de los riesgos más críticos en aplicaciones con LLM —prompt injection, divulgación de información sensible, cadena de suministro, envenenamiento de datos y de modelo, tratamiento inadecuado de salidas, agencia excesiva y filtración de system prompt, entre otros. La usamos como mapa de cobertura para los escenarios de ataque y como clasificación de cada hallazgo que reportamos.
MITRE ATLAS
La base de conocimiento de MITRE sobre tácticas y técnicas de adversarios contra sistemas habilitados por IA, estructurada como el MITRE ATT&CK. Mapeamos cada técnica ejecutada al ATLAS, para que su SOC construya detecciones y su blue team compare incidentes de IA con el resto del panorama de amenazas.
Los frameworks dan estructura; los operadores dan criterio. Las técnicas catalogadas en OWASP y ATLAS son puntos de partida —el valor de un Red Team está en combinarlas contra su stack específico, sus guardrails específicos y sus flujos de negocio específicos.
Cinco fases
Una operación coordinada
Trabajamos como un adversario motivado — no como un scanner. Cada fase tiene entregables claros y sigues la operación en tiempo real a través de nuestro dashboard.
Threat modeling
Mapeamos su stack de IA, identificamos joyas de la corona y definimos los objetivos del adversario junto con su equipo.
Reconocimiento
OSINT, enumeración de superficie, identificación de modelos, plugins, datos expuestos e integraciones de terceros.
Explotación
Promptware Kill Chain activada — prompt injection, escalada, recolección de credenciales, persistencia vía memoria del agente.
Objetivos & impacto
Movimiento lateral, exfiltración simulada, compromiso de flujos de negocio. Documentamos cada camino con evidencias.
Informe y debrief
Informe ejecutivo, walkthrough técnico, replay de la campaña y plan de remediación priorizado por impacto.
Metodología: OWASP LLM Top 10 y MITRE ATLAS
Toda campaña se planifica sobre dos referencias públicas: el OWASP Top 10 for LLM Applications, que clasifica las vulnerabilidades que explotamos, y MITRE ATLAS, que organiza las tácticas y técnicas de un adversario contra sistemas de IA. La Promptware Kill Chain es el hilo conductor que une ambas en una narrativa de ataque.
En la práctica, cada etapa de la Promptware Kill Chain se mapea a tácticas de ATLAS y categorías de OWASP: el acceso inicial usa prompt injection directa y multimodal (LLM01) y corresponde a las tácticas Initial Access y AI Model Access; la escalada explota agencia excesiva y abuso de tool calls (LLM06), cubriendo Execution y Privilege Escalation; el reconocimiento extrae el system prompt y el contexto privilegiado (LLM07) bajo la táctica Discovery; la persistencia envenena memoria, vector stores y embeddings (LLM04, LLM08) bajo Persistence; el comando y control usa canales indirectos en documentos y contenido recuperado por RAG, bajo Command and Control; el movimiento lateral propaga la instrucción entre agentes y colas de orquestación, documentado con Execution y Collection y con referencia cruzada a Lateral Movement de MITRE ATT&CK; y las acciones sobre el objetivo demuestran exfiltración por canal lícito (LLM02), bajo Exfiltration e Impact.
Dos familias de técnicas atraviesan todas las etapas: la evasión de guardrails y clasificadores de safety, registrada como Defense Evasion, y los ataques de cadena de suministro a paquetes, modelos y datasets (LLM03), registrados como Resource Development. Cada técnica ejecutada recibe el identificador ATLAS y la categoría OWASP correspondientes en el informe técnico, para que tu equipo mapee los controles directamente en el framework que ya usa.
El arsenal que el atacante usa — replicado en escala controlada
Cada técnica a continuación se observó en incidentes reales 2025–26 o investigación académica. Todas se ejecutan con autorización explícita y contención de blast radius.
Prompt injection multimodal
Instrucciones ocultas en imágenes, PDFs, audio y metadatos. Rompe el trust boundary entre datos e instrucciones.
Tool / function abuse
Encadenamiento de tool calls legítimos para alcanzar capacidades no autorizadas — file system, email, transacciones.
Modelo & system prompt leak
Extracción de instrucciones del sistema, contexto privilegiado y detalles del modelo vía prompts adversariales.
Memory poisoning
Inyección de instrucciones persistentes en memoria de largo plazo, vector stores y contexto compartido entre sesiones.
Indirect prompt channel
Canal de comando y control vía documentos compartidos, comentarios o contenido recuperado por RAG.
Agent-to-agent contagion
Propagación entre agentes vía llamadas inter-agente, colas de mensajes y contextos de orquestación compartidos.
Exfiltración de datos por canal lícito
Salida de datos sensibles a través de respuestas, resúmenes o acciones que parecen legítimas para la detección.
Guardrail bypass
Encoding, role-play, contexto largo, ataques de rompecabezas lógicos y evasión de classifiers de safety.
Supply chain
Paquetes maliciosos, modelos backdoored, datasets envenenados — atacando antes del deploy.
Red Team de IA en Brasil y LATAM
Berghem tiene su sede en São Paulo y entrega Red Team de IA en todo Brasil y América Latina, con presencia europea a través de Berilo. Nuestros operadores trabajan en portugués, español, inglés e italiano —y eso importa más de lo que parece. La prompt injection, los jailbreaks y la ingeniería social de un LLM son ataques de lenguaje: un modelo que resiste payloads en inglés a menudo queda expuesto a las mismas técnicas escritas en portugués o español. Probamos los asistentes con los que sus clientes realmente conversan, en los idiomas que realmente usan.
El contexto regional moldea los escenarios. Las instituciones financieras brasileñas operan bajo los requisitos de ciberseguridad del Banco Central y la LGPD, y fintechs, minoristas, proveedores de salud y telecos en toda LATAM están desplegando asistentes con LLM de cara al cliente más rápido de lo que sus programas de seguridad pueden seguir. Diseñamos objetivos de adversario en torno a los datos y flujos que conllevan riesgo regulatorio y de negocio en su jurisdicción, y escribimos informes que sus auditores y reguladores pueden leer.
Trabajar en la misma zona horaria que su equipo significa coordinación en vivo durante la campaña, sesiones de purple team con su SOC en horario laboral y un debrief presencial en lugar de un PDF enviado por correo. Para grupos multinacionales ejecutamos la misma metodología desde São Paulo y desde Europa, de modo que una filial brasileña y una matriz europea reciban resultados comparables.
Servicios relacionados: Pentest de IA y LLM · Servicios de seguridad de IA · Red Team y simulación de ataque
Entregables y evidencias
Cada campaña termina con cuatro entregables, cada uno escrito para un público diferente: la dirección, ingeniería, el SOC y el responsable de la remediación.
Informe ejecutivo (15–25 pp)
Resumen de impacto en lenguaje de negocio, mapa de riesgo, top 5 caminos de ataque, recomendaciones priorizadas y exposición financiera estimada.
Informe técnico (60–120 pp)
Cada cadena de ataque documentada etapa por etapa, con payloads, capturas, logs y PoC reproducible para el equipo de ingeniería.
Replay de la campaña
Timeline visual interactiva de cada etapa ejecutada, decisiones del operador y ventanas donde la defensa habría detectado si la observabilidad hubiese estado activa.
Plan de remediación 90 días
Acciones priorizadas (alta/media/baja), dueños sugeridos, esfuerzo estimado y dependencias entre controles. Revisamos a los 90 días para validar.
Operaciones controladas
Sin sorpresas
Toda campaña comienza con reglas de engagement documentadas, contención de blast radius y un canal directo con su equipo de respuesta si algo escapa del scope.
Alcance quirúrgico
Sistemas, cuentas de prueba, ventanas de tiempo y tipos de acción aprobados por escrito antes de cualquier ejecución.
Línea roja 24/7
Canal directo entre el líder de campaña y su equipo de seguridad — pausamos la operación en cualquier momento.
Sin datos reales exfiltrados
Demostramos capacidad de exfiltración con canaries y datos sintéticos. Nada sensible sale de su perímetro.
Reversibilidad
Cada modificación en memoria, configuración o estado se documenta y revierte al final de la operación.
Coordinación con SOC
Modo "purple team" disponible — operamos en coordinación con su SOC para validar detección y respuesta en tiempo real.
Compliance & legal
Contrato con NDA, autorización legal, segregación de datos e informe auditable para reguladores y auditores.
Red Team de IA: preguntas frecuentes
¿Qué es el red team de IA?
¿Cómo funciona el Red Team para IA generativa?
¿Cuál es la diferencia entre Red Team de IA y pentest de IA?
¿Qué recibes al final de la campaña de Red Team?
¿Listo para descubrir lo que un adversario motivado realmente puede hacer?
Workshop de threat modeling de 2 días para empezar — sale con mapa de superficie, top 5 caminos de ataque hipotéticos y propuesta de campaña completa.
Agendar workshop