En la actualidad, la IA escribe una gran parte del software que se utiliza en producción. Según el informe «Estado de la IA en seguridad y desarrollo 2026» de Aikido, el 24 % del código en producción está generado por IA. Sin embargo, el 69 % de las organizaciones ha detectado vulnerabilidades en el código generado por IA y el 20 % ha notificado un incidente grave como consecuencia de ello.
Gran parte del debate sobre la seguridad en torno a los modelos de lenguaje grande (LLM) se centra en establecer medidas de protección en los propios modelos. Sin embargo, se presta mucha menos atención a la capa de aplicación, a pesar de que es ahí donde se originan muchos de estos incidentes y donde las medidas de protección no sirven de nada. En enero de 2025, un error crítico de configuración en el código generado por IA dejó expuestas, en más de 170 aplicaciones desarrolladas por Lovable, direcciones de correo electrónico, claves de API, datos de pago y datos personales. Ningún mecanismo de protección situado delante de un modelo lo habría detectado.
En esta entrada se explica qué abarca realmente la seguridad de las aplicaciones de modelos de lenguaje grande (LLM), por qué es necesaria, cómo elegir una herramienta que la garantice y qué plataformas ofrecen la mejor cobertura.
{{cta}}
TL;DR
Aikido Security es la mejor opción para los equipos que buscan seguridad de aplicaciones LLM de nivel empresarial a lo largo de todo el ciclo de vida del desarrollo de IA. Analiza el código generado por IA en el IDE, bloquea los paquetes maliciosos y falsos en el momento de la instalación, protege el entorno de desarrollo frente a amenazas como los servidores MCP maliciosos y realiza un seguimiento de los modelos de IA a los que recurre tu aplicación en producción.
¿Qué es la seguridad de las aplicaciones de modelos de lenguaje grande (LLM)?
En este artículo, nos centraremos en la seguridad de los modelos de lenguaje a gran escala (LLM) desde el punto de vista de las aplicaciones, lo que significa garantizar la seguridad del código, las dependencias y la infraestructura que rodea a un LLM. Esto difiere de la seguridad del modelo, que abarca el comportamiento del LLM en tiempo de ejecución y se gestiona mediante herramientas de control de riesgos y de simulacros de ataque, como Lakera Guard, Prisma AIRS, NeMo Guardrails y Garak. Ninguna de las dos medidas es suficiente por sí sola.
La investigación «PromptPwnd» de Aikido puso de manifiesto por qué hay que prestar atención al lado de las aplicaciones. Se inyectaron datos no fiables en las instrucciones de Gemini CLI y otros agentes que se ejecutaban dentro de los flujos de trabajo de GitHub Actions, y dichos agentes utilizaron sus tokens con privilegios para filtrar información confidencial. Al menos cinco empresas de la lista Fortune 500 se vieron afectadas.
El modelo fue el punto de entrada del atacante, pero la vulnerabilidad se encontraba en el archivo de flujo de trabajo, algo que las herramientas de seguridad de las aplicaciones pueden comprobar. SAST pueden señalar entradas no fiables que llegan a las solicitudes de confirmación y a los tokens privilegiados expuestos a los agentes, que es precisamente lo que detectan las reglas Opengrep de Aikido y lo que Google corrigió en un plazo de cuatro días tras la divulgación.
El Top 10 OWASP aplicaciones de LLM 2025» es el marco de referencia para este ámbito, y varias de sus categorías se sitúan en la capa de aplicación, entre ellas la cadena de suministro (LLM03), el manejo inadecuado de los resultados (LLM05), la agencia excesiva (LLM06) y la desinformación (LLM09). Sin embargo, la taxonomía se elaboró pensando en las aplicaciones LLM en tiempo de ejecución, y solo recoge parcialmente los riesgos del desarrollo asistido por IA.
Estas vulnerabilidades ya están apareciendo en el mundo real. En el marco de LLM09, investigadores de USENIX 2025 sometieron a prueba 16 modelos con 2,23 millones de muestras de código y descubrieron que el 19,7 % contenía al menos un nombre de paquete «alucinado». Al volver a ejecutar las mismas instrucciones, el 43 % de los paquetes «alucinados» reapareció en cada una de las 10 consultas. Los atacantes registran ahora nombres falsos por adelantado, convirtiendo las peculiaridades de los modelos en ataques a la cadena de suministro.
Cubrir estas categorías requiere varias capacidades distintas. SAST el análisis de secretos en el código de la aplicación detectan credenciales codificadas de forma fija y entradas no depuradas que llegan a las solicitudes. SCA las versiones de marcos de IA con vulnerabilidades conocidas, mientras que la detección de malware en la cadena de suministro detecta paquetes maliciosos y «alucinados». La protección del entorno de desarrollo detecta servidores MCP maliciosos distribuidos como paquetes y extensiones comprometidas antes de que se instalen. Además, el seguimiento del uso de los modelos de lenguaje grande (LLM) supervisa qué modelos está llamando realmente tu aplicación, sacando a la luz integraciones de IA no autorizadas.
Por qué necesitas herramientas de seguridad basadas en modelos de lenguaje grande (LLM)
El desarrollo de la inteligencia artificial ha generado nuevas vulnerabilidades que los equipos de seguridad deben abordar.
- El código generado por IA se implementa sin revisar: dado que actualmente una cuarta parte del código de producción está generado por IA, la revisión no ha podido seguir el ritmo de la producción.
- Los modelos de lenguaje grande (LLM) heredan las vulnerabilidades del código en el que se ejecutan: no solo importa el código escrito por la IA. Cualquier código que un LLM lea, sobre el que se ejecute o del que extraiga contexto pasa a formar parte de su superficie de ataque, que es precisamente lo que hizo que PromptPwnd fuera vulnerable.
- Slopsquatted paquetes: Los atacantes registran los nombres de los paquetes; los asistentes de IA cometen errores, convirtiendo una peculiaridad del modelo en un ataque a la cadena de suministro.
- Shadow AI: Los equipos están utilizando modelos que nadie ha registrado y enviando datos a proveedores que nadie ha autorizado.
- La presión normativa está empezando a exigir medidas de seguridad para los modelos de lenguaje grande (LLM): la Ley de IA de la UE es el ejemplo más claro, y el «OWASP LLM Top 10» se está convirtiendo en el marco de referencia de facto en las revisiones de seguridad.
Cómo elegir una herramienta de seguridad basada en IA (LLM)
Cobertura de todo el ciclo de vida del desarrollo de software (SDLC) de la IA
Una plataforma que abarca el código generado por IA, la cadena de suministro que lo alimenta y el entorno de desarrollo que lo produce. Las herramientas puntuales cubren solo una parte, y combinar varios proveedores implica tener múltiples paneles de control y resultados duplicados.
¿Comprueba el código generado por IA en el IDE?
El código escrito por un asistente debería revisarse en el momento de su creación, y no detectarse en la integración continua (CI) cuando ya se encuentra en una solicitud de incorporación de cambios. El IDE es la primera línea de defensa contra las vulnerabilidades del código generado por IA, ya que es allí donde una persona revisa activamente cada línea.
Relación señal/ruido
La IA ha incrementado tanto el volumen de código como el de resultados. Una herramienta que no es capaz de clasificar sus propios resultados se convierte en otra carga de trabajo pendiente.
Seguimiento del uso de LLM
Conocer qué modelos utiliza la aplicación, para detectar la IA oculta antes de que un auditor o un atacante la descubra primero.
Las mejores herramientas de seguridad basadas en modelos de lenguaje grande (LLM) para aplicaciones de IA
Aikido Security
Aikido Security abarca todo el ciclo de vida de las aplicaciones de IA, de principio a fin. Comienza en el IDE, donde se genera el código de IA, y se extiende hasta el entorno de producción, donde se ejecuta.
A nivel de código, el complemento MCP de Aikido conecta el motor de seguridad de Aikido directamente con las herramientas de programación de IA, ejecutando automáticamente SAST y detección de secretos en el código generado dentro del IDE. Las vulnerabilidades se detectan en el momento de su creación, en lugar de salir a la luz en una solicitud de incorporación de cambios o, peor aún, en producción. Safe Chain funciona en paralelo, bloqueando paquetes npm maliciosos y falsos en el momento de la instalación y cortando la vía de ataque de «slopsquatting» antes de que un paquete llegue a tu árbol de dependencias (una coincidencia directa con OWASP LLM09).
En la capa de entorno, la protección de dispositivos supervisa los equipos en los que se lleva a cabo el desarrollo asistido por IA. Las herramientas de programación basadas en IA se conectan a los servidores MCP, instalan extensiones y descargan paquetes, y cada uno de estos procesos constituye un canal que un atacante podría aprovechar. La protección de dispositivos detecta los servidores MCP maliciosos y las extensiones comprometidas antes de que se instalen.
El DSPM se ocupa de determinar dónde terminan los datos de las aplicaciones de IA. Los datos confidenciales de los clientes fluyen hacia almacenes que las herramientas tradicionales no detectan, como las bases de datos vectoriales y los registros de prompts, a menudo sin haber sido ocultados previamente. El DSPM localiza esos datos que quedan expuestos, de modo que la información de identificación personal (PII) no se acumule de forma silenciosa en la infraestructura en la que escriben tus funciones de IA.
Además, en el ámbito de la producción, Zen ofrece un seguimiento del uso de los modelos de lenguaje grande (LLM) integrado en la aplicación, que muestra exactamente a qué modelos de IA recurre tu aplicación en tiempo real, realiza un seguimiento del destino de los datos hasta el nivel de región y garantiza el cumplimiento de las normas de uso de la IA, de modo que las integraciones no autorizadas se detectan de inmediato.
Detrás de todo esto, AutoTriage se encarga de la deduplicación, el filtrado por accesibilidad y la correlación entre escáneres, lo que permite mantener a un nivel manejable, a escala empresarial, los volúmenes de resultados generados por la IA.
Además, el RBAC, el SSO y los registros de auditoría están presentes en todas las capas, lo que garantiza el cumplimiento de los requisitos de gobernanza empresarial.
Ideal para: Equipos empresariales que desean contar con seguridad de las aplicaciones basada en IA a lo largo de todo el ciclo de vida del desarrollo, con los mecanismos de RBAC, SSO y registros de auditoría que exige la gobernanza.
{{walkthrough}}
Snyk
La plataforma Snyk abarca SAST, SCA, contenedores y escaneo IaC, y cuenta con su motor de IA DeepCode, que potencia la detección y el análisis de código generado por IA en el IDE. Durante el último año, Snyk se Snyk reposicionado como una «plataforma de seguridad basada en IA» y ha lanzado Evo AI-SPM para la gestión de la postura de la IA mediante agentes, Agent Security para la gestión de los agentes de IA a lo largo de todo su ciclo de vida, y Agent Fix para la corrección autónoma en el IDE.
El valor más destacable sigue siendo AppSec tradicional AppSec Snyk, ya que la mayoría de estos productos de IA tienen menos de un año de antigüedad, por lo que aún no han sido puestos a prueba a la escala de SCA tradicionales SAST SCA Snyk. Las desventajas habituales de Snyk tampoco Snyk cambiado. El volumen de detecciones Snyk es motivo de queja habitual, y su modelo de precios se adapta mejor a las grandes organizaciones que a los equipos pequeños.
Ideal para: equipos que buscan una plataforma consolidada con amplia cobertura de lenguajes y que estén dispuestos a invertir en las herramientas de gestión de la postura de seguridad basadas en IA Snyk, en constante expansión. No obstante, los equipos deben prever tiempo para la configuración, a fin de mantener el volumen de hallazgos a un nivel manejable, y tener en cuenta que los precios son de nivel empresarial, lo que puede no ser adecuado para organizaciones más pequeñas.
Semgrep
El punto fuerte Semgrep son sus reglas personalizables. Los equipos pueden escribir su propia lógica de detección para patrones de código específicos de los modelos de lenguaje grande (LLM). Semgrep , lanzado en marzo de 2026, combina el motor de reglas determinista Semgrep con el razonamiento de los LLM para reducir la carga de clasificación y generar instrucciones de corrección paso a paso en las solicitudes de incorporación de cambios. Semgrep , lanzado en mayo de 2026, es un escáner de seguridad en tiempo real para código generado por IA que se ejecuta dentro de Claude Code, Cursor, Windsurf, Kiro y otras herramientas de programación con agentes. Incluye tres paquetes de reglas seleccionados específicamente para riesgos relacionados con la IA.
La contrapartida es el alcance. Semgrep una plataforma de seguridad de código, por lo que la protección de la cadena de suministro más allá del análisis de vulnerabilidades de los paquetes, la defensa del entorno de desarrollo, el DSPM y el seguimiento del uso de los LLM en producción deben provenir de otras fuentes. La base basada en reglas también sigue siendo un factor a tener en cuenta. La cobertura depende de los paquetes de reglas que se activen y de cómo se ajusten, aunque los paquetes específicos para IA Semgrep actualmente realizan gran parte de ese trabajo de forma predeterminada, mucho más de lo que lo hacían en el pasado.
Ideal para: Equipos de ingeniería de seguridad que deseen crear y ajustar sus propias reglas de detección, y que se sientan cómodos con una plataforma centrada en el código en lugar de una suite de seguridad «full-stack». No obstante, seguirás necesitando soluciones independientes para la protección de la cadena de suministro, las amenazas en los entornos de desarrollo y la visibilidad del uso de modelos de lenguaje grande (LLM) en producción.
Endor Labs
Endor Labs una plataforma unificada que abarca SCA, SAST, detección de secretos, análisis de contenedores y detección de paquetes maliciosos su Package Firewall. En lo que respecta a la IA, Endor detecta los modelos de IA incorporados a tu código fuente, genera listas de componentes de IA (AI-BOM) y ofrece una puntuación de riesgo para los modelos procedentes de repositorios públicos como Hugging Face. Su servidor AURI MCP se integra directamente con Cursor, Claude Code, Copilot y otros asistentes de programación basados en IA para realizar análisis en tiempo real a medida que se escribe el código.
Sin embargo, Endor no cubre el entorno de desarrollo más allá de los complementos para el IDE (no ofrece protección contra servidores MCP maliciosos como amenazas instaladas), no funciona en entornos de producción (no realiza un seguimiento del uso de los modelos de lenguaje grande ni ofrece protección de la aplicación en tiempo de ejecución) y no admite DSPM.
Ideal para: equipos cuyo principal riesgo relacionado con la IA sea la cadena de suministro de código abierto; sin embargo, si tus riesgos incluyen código generado por IA en el IDE, servidores MCP maliciosos en los equipos de los desarrolladores o llamadas a modelos no autorizadas en producción, necesitarás otra solución complementaria.
Wiz
Wiz la seguridad de la IA desde la nube. Su solución AI-SPM detecta servicios, modelos e infraestructura de entrenamiento de IA en entornos de nube y señala las configuraciones erróneas y los riesgos de exposición. Wiz amplía esa detección a los almacenes de vectores y los registros de prompts, donde suelen acumularse datos sensibles relacionados con la IA. Wiz , lanzado para integrarse en el flujo de trabajo de los desarrolladores, abarca SAST, SCA, detección de secretos y escaneo IaC complementos para los entornos de desarrollo integrado (IDE) VS Code, JetBrains y Lovable. Desde que se cerró la adquisición por parte de Google en marzo de 2026, Wiz operando bajo su propia marca dentro de Google Cloud.
Donde la cobertura Wiz se queda corta es en las primeras fases del proceso de desarrollo de la IA. No bloquea la instalación de paquetes maliciosos (Wiz losWiz a posteriori, en lugar de interceptarlos antes de la instalación), no ofrece protección para el entorno de desarrollo frente a servidores MCP maliciosos y no realiza un seguimiento del uso de los modelos de lenguaje grande (LLM) a nivel de solicitud dentro de la aplicación.
Ideal para: equipos de seguridad cuyo principal reto en materia de seguridad de la IA sea la visibilidad a nivel de toda la nube; sin embargo, si tu objetivo es detener las vulnerabilidades relacionadas con la IA antes de que lleguen a producción (bloqueando paquetes maliciosos antes de su instalación, detectando amenazas en servidores MCP en los equipos de los desarrolladores o realizando un seguimiento de las llamadas a modelos en producción), los puntos fuertes Wiz se sitúan en una fase más avanzada del proceso de lo que te convendría.
