Seis marcos de seguridad en IA y cuál necesitas de verdad

Existen más marcos de seguridad para IA de los que cualquier equipo puede adoptar, y la gente se frustra con ellos porque se comparan como si fueran opciones intercambiables. Algunos enumeran riesgos, otros describen un método para encontrar esos riesgos y otros detallan cómo debe gobernar la organización toda esa actividad. Elegir entre categorías es la decisión que de verdad importa; elegir dentro de una misma categoría es casi una cuestión de preferencia.

Lo que sigue a continuación es un mapa y no un simple catálogo. Para cada marco se explica qué pregunta responde, a quién va dirigido y en qué momento conviene recurrir a él.

El problema

A un responsable de plataforma le piden "alinearse con un marco" antes de poner en producción un asistente interno. Busca en internet y encuentra listas de OWASP, un marco de NIST, una metodología de CSA, una base de conocimiento de MITRE y un puñado de propuestas más recientes. Elige NIST porque le suena más formal, pasa seis semanas mapeando funciones organizativas y pone en marcha un sistema que sigue ejecutándose con una cuenta de servicio compartida y sin restricciones de tráfico saliente.

Nada en ese trabajo estuvo mal hecho. Simplemente respondió a una pregunta que nadie había formulado. NIST AI RMF describe cómo una organización gestiona el riesgo de la IA, pero no te advierte de que las credenciales de tu agente tienen permisos excesivos.

Por qué es diferente con la IA

Estas categorías también existen en la seguridad tradicional. La diferencia radica en lo recientes que son la mayoría de estos marcos, la rapidez con la que se actualizan y la ligereza con la que la gente cita referencias que resultan no existir.

Al verificar fuentes para esta serie, aparecieron tres marcos nuevos en la diapositiva de una conferencia. Dos cuentan con documentos oficiales. El tercero, presentado como SAILORS, no pudo localizarse en ninguna parte: ni artículos técnicos, ni página de proyecto, ni publicación alguna con ese nombre en este ámbito. Puede tratarse de un nombre mal transcrito o de una herramienta interna. En cualquier caso, no puedes adoptarlo, y es preferible señalarlo antes que propagar el nombre solo porque aparecía junto a otros reales. Si un marco no tiene un documento que puedas leer, no puede formar parte de tu arquitectura.

Esa comprobación dejó otra lección: indica siempre la edición. El OWASP LLM Top 10 reordenó sus puntos en la edición de 2026, por lo que un control asignado a un ID de una versión previa puede apuntar ahora a un riesgo totalmente distinto [1].

Los seis, organizados por categoría

Listas de riesgos: qué puede salir mal

OWASP Top 10 for LLM Applications 2026 [1] aborda diez riesgos en sistemas que utilizan modelos, desde la inyección de prompts en LLM01 hasta el control inadecuado de salidas en LLM10. Se publicó el 3 de agosto de 2026. Empieza por aquí si desarrollas u operas cualquier elemento basado en un modelo, ya que es lo bastante concreto como para evaluar un sistema en una sola tarde.

OWASP Top 10 for Agentic Applications 2026 [2], publicado el 9 de diciembre de 2025, recoge los riesgos que surgen cuando el modelo tiene capacidad de acción: secuestro de objetivos, uso indebido de herramientas, abuso de identidades y privilegios, envenenamiento de memoria o agentes descontrolados. Complementa la lista de LLM y no la sustituye. Adóptalo en cuanto tus sistemas manejen credenciales y ejecuten acciones.

MITRE ATLAS [3] es una base de conocimiento de tácticas y técnicas de adversarios contra sistemas de IA, estructurada al estilo de ATT&CK. No es una lista de verificación. Quienes más provecho le sacan son los equipos de red team y los ingenieros de detección, porque les permite describir un ataque en términos que sus compañeros ya entienden.

Metodologías: cómo encontrar qué puede salir mal

MAESTRO [4] es un marco de modelado de amenazas de CSA que divide un sistema de agentes en siete capas, desde los modelos fundacionales hasta el ecosistema de agentes, y analiza las amenazas dentro de cada una y entre ellas. Su utilidad práctica reside en la frontera que delimita. Deja claro qué capas gestionas tú y cuáles corresponden a un cliente o al proveedor del modelo, lo que convierte la duda de si el entorno es seguro en una pregunta con un responsable asignado.

PHANTOM-B [5] es una regla mnemotécnica en la línea de STRIDE, enfocada de forma específica a componentes LLM, desarrollada por Shostack + Associates y presentada en Black Hat USA 2026. Está diseñada para aplicarse en menos de una hora y complementar STRIDE en lugar de reemplazarlo. Úsala si ya aplicas modelado de amenazas y quieres cubrir la parte de LLM sin implantar un proceso nuevo.

Gobernanza: cómo gestiona la organización esta actividad

NIST AI Risk Management Framework [6] describe funciones organizativas para gobernar, mapear, medir y gestionar el riesgo de la IA. Es la primera opción adecuada cuando tu urgencia proviene de un auditor, un consejo directivo o un despliegue regulado, y la opción equivocada si tu urgencia es un asistente que entra en producción este viernes.

Existe también un STRIDE-AI académico (Cyrille y Schwarz, prepublicación en arXiv, mayo de 2026) que se plantea de forma explícita como un puente entre la gobernanza y las taxonomías técnicas [7]. Vale la pena leerlo si esa brecha es tu problema. Ten en cuenta que es un borrador previo y que un artículo no relacionado de 2021 utiliza el mismo nombre.

Qué funciona en la práctica

Elige un marco de cada categoría que realmente necesites y descarta las que no te hagan falta. La mayoría de los equipos de infraestructura necesitan una lista de riesgos y nada más este trimestre, y los marcos de gobernanza justifican su esfuerzo cuando alguien externo los exige.

Utiliza las referencias cruzadas en lugar de hacer mapeos a mano. Estas publicaciones se referencian entre sí de forma deliberada, y reconstruir esas relaciones en una hoja de cálculo es un trabajo que queda obsoleto con la siguiente edición.

Indica la edición en cada control que vincules. Afirmar que "mitiga LLM03" es una declaración con fecha de caducidad. Afirmar que "mitiga LLM03:2026 Agencia excesiva" sobrevive a la siguiente revisión, o al menos evidencia el desfase de inmediato.

Deja que la metodología acompañe a la lista. Una lista de riesgos te indica qué buscar. Cuando deja de ser suficiente, normalmente cuando los sistemas empiezan a actuar y coordinarse, una metodología te indica cómo buscarlo. Empezar por la metodología es de donde surgen las seis semanas perdidas.

Qué no funciona

Adoptar el que suene más oficial no sirve porque la autoridad es el criterio equivocado; debes elegir en función de la categoría.

Tratar un marco como si fuera una prueba de seguridad tampoco funciona. Decir que sigues un marco describe tu proceso pero no certifica nada. Ningún marco de esta página acredita tu sistema, y ninguna de las entidades emisoras ofrece certificaciones al respecto.

Mapear todo contra todo produce una matriz cruzada completa de cuatro marcos: un documento que nadie lee y que todos deben mantener.

Citar un marco que no has leído es la última trampa. El caso de SAILORS es la versión leve. La versión perjudicial es vincular un control a un ID que cambió de lugar entre ediciones.

Por dónde empezar

• Si construyes con modelos, utiliza el OWASP LLM Top 10 2026 y contrasta un sistema real con él esta semana.
• Si esos sistemas ejecutan acciones, añade el Agentic Top 10 2026.
• Si necesitas determinar quién responde por cada capa, utiliza MAESTRO, sobre todo cuando un cliente o un proveedor gestiona parte de la infraestructura.
• Si un auditor es el motivo por el que estás leyendo esto, utiliza NIST AI RMF y asume que llevará más tiempo.
• Si ya haces modelado de amenazas, añade PHANTOM-B para los componentes LLM en vez de adoptar un proceso nuevo.
• Elijas lo que elijas, registra la edición y la fecha de revisión. Todo lo que aparece en esta página evoluciona, y lo que antes cambia es precisamente lo que más conviene citar con precisión.

Fuentes

1. OWASP Top 10 for LLM Applications 2026, OWASP GenAI Security Project, publicado el 3 de agosto de 2026: https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/
2. OWASP Top 10 for Agentic Applications 2026, OWASP GenAI Security Project, publicado el 9 de diciembre de 2025: https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
3. MITRE ATLAS: https://atlas.mitre.org/
4. Agentic AI Threat Modeling Framework: MAESTRO, Cloud Security Alliance, febrero de 2025: https://cloudsecurityalliance.org/blog/2025/02/06/agentic-ai-threat-modeling-framework-maestro
5. PHANTOM-B, Shostack + Associates White Paper #6, julio de 2026: https://shostack.org/files/papers/PHANTOM-B_Whitepaper_Shostack.pdf
6. NIST AI Risk Management Framework: https://www.nist.gov/itl/ai-risk-management-framework
7. STRIDE-AI: A Threat Modeling Framework for Generative AI Security Assessment, Cyrille and Schwarz, prepublicación en arXiv, mayo de 2026: https://arxiv.org/abs/2605.17163