Donde dejan de aplicar los estándares de seguridad de la inteligencia artificial — y dónde debe comenzar la protección en tiempo de ejecución

Con todo el debate sobre los riesgos de seguridad de la inteligencia artificial, un tema que parece pasar desapercibido es el siguiente: el hecho de que los sistemas de inteligencia artificial solo funcionan al exponer sus activos más valiosos — modelos y datos.

A diferencia del software tradicional, la inteligencia artificial no simplemente ejecuta una lógica predefinida. En su lugar, combina continuamente modelos propietarios con entradas sensibles para generar salidas, a menudo en infraestructuras que no fueron diseñadas para proteger la computación.

De esta manera, la seguridad tradicional se queda corta. El cifrado es efectivo cuando los datos se almacenan o se transmiten a través de una red, pero no cuando los datos se procesan o se operan. En el caso de la inteligencia artificial, el peligro surge cuando se despliega un modelo. Sus parámetros se cargan en la memoria, se inicializan y se ejercitan a gran escala — el punto en el que el cifrado se detiene — exponiéndolo a un posible acceso no autorizado. Durante la inferencia, los datos sensibles fluyen a través de ese mismo espacio expuesto. El resultado es una superficie de riesgo altamente vulnerable: los sistemas de inteligencia artificial que pueden parecer seguros — pero en realidad están desprotegidos en los momentos más críticos.

Organismos como el Instituto Nacional de Estándares y Tecnología (NIST), la Agencia de Ciberseguridad de la Unión Europea (antes conocida como la Agencia de Seguridad de Redes y Sistemas de Información, o ENISA) y el Proyecto de Seguridad de Aplicaciones Web Abiertas (OWASP) han comenzado a cartografiar este territorio. Describen los riesgos, nombran las vulnerabilidades y esbozan principios de gobernanza. Pero se detienen antes de prescribir cómo proteger los modelos como propiedad intelectual y los datos como activos confidenciales una vez que comienza la ejecución. Cerrar esta brecha requiere replantear la seguridad de la inteligencia artificial — no como un ejercicio de cumplimiento, sino como un problema de computación en sí. Aquí es donde el cifrado en uso, o el cifrado de extremo a extremo, juega un papel.

El Punto Ciego en la Seguridad de la Inteligencia Artificial Moderna

La mayoría de las conversaciones sobre la seguridad de la inteligencia artificial aún giran en torno a temas familiares: la gobernanza de los datos de entrenamiento, los controles de acceso, el monitoreo de API y las políticas de usuario responsables. Estos son necesarios. Sin embargo, ninguno de ellos aborda lo que sucede después del despliegue, cuando un modelo sale del repositorio y se convierte en un sistema vivo.

Una vez desplegado, los parámetros de un modelo ya no son artefactos abstractos. Son activos vivos, residentes en la memoria, accesados continuamente durante la inferencia y a menudo utilizados por múltiples inquilinos o clientes a través de servicios de inteligencia artificial compartidos. Esta exposición ocurre antes de que se realice cualquier solicitud de inferencia, lo que complica el riesgo al introducir entradas sensibles y comportamientos observable externamente.

Tratar la protección del modelo como una preocupación previa al despliegue y la seguridad de la inferencia como una preocupación en tiempo de ejecución pierde el punto. En sistemas reales, estos riesgos se superponen. Los modelos y los datos se exponen a lo largo de la inicialización, la ejecución y la salida. La seguridad que comienza y termina con los controles de almacenamiento no aborda estas exposiciones.

Qué Hace Bien NIST — y Dónde Se Detiene

El Marco de Gestión de Riesgos de la Inteligencia Artificial de NIST se ha convertido en una piedra angular para las organizaciones que intentan gestionar el riesgo de la inteligencia artificial. Su estructura — gobernar, mapear, medir, gestionar — ofrece una forma disciplinada de pensar en la responsabilidad, el contexto, el impacto y la mitigación en todo el ciclo de vida de la inteligencia artificial.

Lo que NIST hace particularmente bien es enmarcar el riesgo de la inteligencia artificial como sistémico en lugar de accidental. Los fallos de la inteligencia artificial rara vez son eventos de un solo punto; surgen de las interacciones entre modelos, datos, personas y infraestructura. Ese enmarque es esencial.

Donde el marco se queda corto es al no dictar cómo se protegen los activos de alta valor de la inteligencia artificial una vez que los sistemas están en vivo. Los parámetros del modelo se tratan implícitamente como artefactos de diseño en lugar de activos en tiempo de ejecución. Se asume que los entornos de ejecución son lo suficientemente confiables.

En la práctica, los parámetros del modelo a menudo son los activos más valiosos que posee una organización. Se cargan en la memoria, se copian en los nodos, se almacenan en caché y se reutilizan. Si la gestión de riesgos de la inteligencia artificial no tiene en cuenta la confidencialidad de los modelos durante el despliegue y la ejecución, un activo crítico queda fuera del límite de riesgo, como un pato sentado.

ENISA y la Realidad de las Amenazas Específicas de la Inteligencia Artificial

El trabajo de ENISA sobre la ciberseguridad de la inteligencia artificial impulsa la conversación un poco más. Su marco multilayer distingue entre la seguridad de la infraestructura tradicional y los riesgos específicos de la inteligencia artificial, reconociendo que los sistemas de inteligencia artificial se comportan de manera diferente — y fallan de manera diferente — que el software convencional.

¿Por qué es importante? La inteligencia artificial introduce amenazas que no encajan perfectamente en los controles existentes: la extracción de modelos, la fuga de parámetros, la exposición de co-tenencia y la manipulación durante la ejecución. Estos riesgos no requieren atacantes exóticos. Surgen naturalmente cuando los modelos de alta valor se ejecutan en entornos compartidos o gestionados externamente.

El marco de ENISA reconoce implícitamente que la seguridad de la inteligencia artificial significa la seguridad del comportamiento, no solo del código. Pero al igual que la mayoría de las normas, se centra en lo que se debe considerar, no en cómo se aplican técnicamente las protecciones una vez que los modelos están en ejecución.

OWASP y el Costo de la Inteligencia Observable

La lista de los 10 principales de OWASP para aplicaciones de modelos de lenguaje grande ofrece una visión más concreta de cómo los sistemas de inteligencia artificial fallan en el mundo real. La inyección de prompts, la divulgación de información sensible, la fuga de incrustaciones, la transparencia excesiva de la salida — estos no son problemas teóricos. Son los subproductos de desplegar modelos poderosos sin limitar lo que revelan.

Aunque estos problemas a menudo se enmarcan como problemas de la capa de aplicación, sus consecuencias son más profundas. La exposición repetida del comportamiento del modelo puede conducir a un clonado efectivo; las incrustaciones mal aisladas pueden revelar estructura; y el abuso de inferencia se convierte en una vía para la replicación del modelo.

La taxonomía de OWASP deja claro una cosa: proteger la inteligencia artificial no es solo detener las entradas malas. Se trata de limitar lo que los modelos exponen — interna y externamente — una vez que están operativos.

Una Conclusión Compartida, un Trabajo Inacabado

A través de NIST, ENISA y OWASP, hay un amplio acuerdo sobre los fundamentos:

• El riesgo de la inteligencia artificial abarca el ciclo de vida
• Los sistemas de inteligencia artificial introducen nuevas categorías de amenazas
• Los modelos y los datos son activos de alto valor
• La exposición en tiempo de ejecución es inevitable

Lo que estos marcos carecen, sin embargo, es un mecanismo para aplicar la confidencialidad una vez que los modelos están desplegados y comienza la computación. Esta omisión no es un error, ya que las normas definen la intención y el alcance. La implementación generalmente se deja al diseñador del sistema.

Pero dejan una brecha crítica — una que crece más ancha a medida que los sistemas de inteligencia artificial se escalan.

El Cifrado en Uso Cambia la Ecualización

El cifrado en uso cambia el modelo de seguridad. En lugar de asumir que los datos y los modelos deben estar expuestos para ser útiles, trata la computación como algo que se puede proteger.

En términos prácticos, esto significa:

• Los modelos permanecen cifrados durante el despliegue, la inicialización y la ejecución
• Las entradas nunca son visibles en texto plano para el entorno de ejecución
• Los estados intermedios no pueden ser inspeccionados ni modificados
• La infraestructura ya no necesita ser implícitamente confiable

Esto no reemplaza los marcos de gobernanza ni los controles de la capa de aplicación — lo opera. Convierte los principios de riesgo en garantías aplicables justo cuando los sistemas de inteligencia artificial son más vulnerables.

En otras palabras, el cifrado en uso es la capa que falta entre la política de inteligencia artificial y la realidad de la inteligencia artificial.

Cuando la Gobernanza Termina y Comienza la Ejecución: Protegiendo la Computación de la Inteligencia Artificial

La seguridad de la inteligencia artificial se rompe en tiempo de ejecución. Una vez desplegados, los modelos y los datos sensibles de la inteligencia artificial deben estar expuestos en la memoria para funcionar, creando una superficie de riesgo que los controles tradicionales — el cifrado en reposo, el cifrado en tránsito y los marcos de gobernanza — no fueron diseñados para proteger.

Organismos como NIST, ENISA y OWASP han hecho un progreso crítico en la definición del riesgo de la inteligencia artificial, la responsabilidad y el mal uso. Pero su orientación trata en gran medida a los modelos como artefactos de diseño en lugar de activos en tiempo de ejecución, y asume que los entornos de ejecución pueden ser confiables. En la práctica, los parámetros del modelo y las entradas sensibles se acceden continuamente, se reutilizan y a menudo se procesan en entornos compartidos o gestionados externamente.

Cerrar esta brecha requiere replantear la seguridad de la inteligencia artificial no como un ejercicio de cumplimiento, sino como un problema de proteger la computación en sí — cuando los modelos están vivos, los datos están en uso y la exposición es inevitable. El cifrado en uso ofrece una forma viable de mantener los modelos y las entradas sensibles de la inteligencia artificial seguros en todas las etapas del ciclo de vida de la inteligencia artificial.