La proliferación de Modelos de Lenguaje de Gran Escala (LLM) ha alterado drásticamente la superficie de ataque en aplicaciones de software, introduciendo asimetrías de costos computacionales que las defensas de red tradicionales son incapaces de mitigar. La transición de interfaces de programación de aplicaciones (API) rígidas a interacciones en lenguaje natural permite el despliegue de vectores de amenaza enfocados en el agotamiento de recursos financieros y computacionales, un fenómeno formalizado como “Denegación de Billetera” (Denial of Wallet). Este documento investiga el estado del arte en la protección de infraestructuras LLM, consolidando una taxonomía de amenazas que abarca desde la repetición estructural mediante plantillas, la deriva de intención en conversaciones multi-turno, hasta los ataques de costo de inferencia sobre sistemas de Generación Aumentada por Recuperación (RAG). Se examinan soluciones algorítmicas de vanguardia que prescinden de evaluaciones estáticas en favor de marcos recurrentes conscientes del estado, análisis de entropía conductual y arquitecturas jerárquicas en cascada. La síntesis de estos componentes conforma un motor de políticas adaptativo capaz de aplicar degradación elegante, preservando la utilidad del modelo para los usuarios legítimos mientras se minimizan los falsos positivos y los costos operativos de seguridad.
Las interfaces conversacionales impulsadas por inteligencia artificial requieren un enfoque de seguridad fundamentalmente distinto al de las aplicaciones web convencionales. Históricamente, la protección se centraba en la identificación de secuencias de comandos entre sitios, inyecciones SQL y la limitación de la tasa de solicitudes (rate limiting) para prevenir ataques de denegación de servicio1. En el contexto de los LLM, un agente malicioso no necesita vulnerar la integridad de los datos ni superar los límites de consultas por minuto para infligir daños operativos; basta con generar interacciones deliberadamente complejas que maximicen el uso de tokens y el tiempo de inferencia de las Unidades de Procesamiento Gráfico (GPU)1.
Esta nueva categoría de riesgo, catalogada bajo la directiva OWASP LLM10:2025 como “Consumo Ilimitado” (Unbounded Consumption), se fundamenta en la explotación de la carga cognitiva y de generación del modelo1. Los adversarios diseñan estrategias de Denegación de Billetera donde el objetivo es agotar los presupuestos de inferencia del proveedor1. Para abordar este desafío, la investigación contemporánea ha transitado desde sistemas de seguridad sin estado hacia motores predictivos multidimensionales. Estos motores fusionan señales de contenido, semántica, comportamiento humano temporal y métricas económicas proyectadas para evaluar dinámicamente el riesgo de cada sesión antes, durante y después de la inferencia1.
El abuso hacia los modelos de lenguaje no se manifiesta exclusivamente mediante la inyección de comandos evidentes (prompt injection). La manipulación se orquesta a través de patrones estructurales sutiles que logran evadir los filtros estáticos al simular consultas benignas. La defensa efectiva exige la categorización y mitigación algorítmica de tres dominios críticos: el abuso volumétrico mediante plantillas, la manipulación de sistemas de recuperación y la deriva secuencial de intención.
El despliegue masivo de robots web para interactuar con chatbots genera una redundancia sintáctica que difiere drásticamente de las conversaciones naturales humanas3. Los atacantes utilizan herramientas para generar un alto volumen de solicitudes homogéneas, alterando únicamente variables específicas dentro de una plantilla predefinida para eludir la detección basada en la coincidencia exacta3. Para neutralizar esta vectorización, la investigación ha desarrollado métodos de minería de registros de chat no supervisados, siendo LPDetective la implementación algorítmica más prominente3.
LPDetective opera bajo el postulado de que el texto generado robóticamente exhibe una similitud estructural cuantificable a través de múltiples sesiones3. El flujo de trabajo delinea un proceso de cuatro etapas que prescinde por completo de datos de entrenamiento preetiquetados, otorgando al sistema la capacidad de descubrir patrones desconocidos de forma adaptativa. Inicialmente, el algoritmo agrupa los mensajes históricos para luego calcular su similitud textual mediante una variante de la subsecuencia común más larga (LCS-Diff)3. Posteriormente, ejecuta un análisis de agrupación jerárquica (hierarchical clustering) que consolida las iteraciones de una misma plantilla, finalizando con la síntesis automatizada de expresiones regulares (regex) optimizadas para interceptar la plantilla en tiempo real3.
Los análisis empíricos sobre conjuntos de datos a gran escala validan la superioridad de esta arquitectura no supervisada frente a modelos paramétricos masivos que sufren de latencias inaceptables.
| Arquitectura de Detección | Conjuntos de Datos Evaluados | Mejora en Puntaje F1 | Reducción de Latencia |
|---|---|---|---|
| Modelos Paramétricos (XLNet) | Bing Copilot, Wildchat, ChatLog | Base de referencia | Base de referencia |
| LPDetective (No Supervisado) | Bing Copilot, Wildchat, ChatLog | + 7.5% | 178 veces más rápido |
La tabla anterior ilustra cómo la adopción de agrupaciones jerárquicas y expresiones regulares generadas algorítmicamente supera a las redes neuronales profundas en la detección de repetición maliciosa, mitigando la ofuscación de plantillas con un costo computacional marginal3.
La arquitectura de Generación Aumentada por Recuperación (RAG) introduce una canalización de inferencia de múltiples etapas, donde el modelo recupera y sintetiza información dinámica desde corpus de conocimiento externos4. Si bien esto mitiga las alucinaciones y mejora la factualidad, eleva drásticamente el costo operativo, convirtiendo al proceso de inferencia en más del 90% de la demanda total de GPU4. Esta asimetría económica expone a los sistemas a los Ataques de Costo de Inferencia Aumentados por Recuperación (RA-ICA)4.
A diferencia de los ataques tradicionales de denegación de servicio que requieren interacciones masivas del usuario, un RA-ICA envenena la base de conocimientos externa (por ejemplo, repositorios de Internet) indexando documentos maliciosos estratégicamente diseñados9. Cuando usuarios legítimos realizan consultas rutinarias, el sistema RAG recupera inconscientemente estos documentos envenenados, los cuales han sido optimizados para forzar al LLM a consumir cantidades anormales de tokens durante la fase de síntesis4.
Para materializar esta amenaza, se ha documentado el uso de marcos automatizados como CREEP (Computational Resource Exhaustion via External Poisoning)10. Este marco utiliza agentes LLM que despliegan estrategias de inyección de señuelos, inyección de contradicciones lógicas y manipulación orientada a tareas. Mediante un algoritmo de aprendizaje por refuerzo denominado Optimización de Política Relativa de Grupo Aumentada por Memoria (MA-GRPO), los agentes perfeccionan iterativamente la redacción de los documentos basándose en un historial dinámico de los mejores ataques4. La evidencia experimental confirma que un documento perfeccionado mediante MA-GRPO puede incrementar el consumo de tokens en el modelo víctima hasta en 13.12 veces, manteniendo una tasa de éxito de recuperación superior al 90% sin alterar la exactitud percibida de la respuesta, lo que garantiza el sigilo del ataque10.
Para contrarrestar estas vulnerabilidades, los sistemas modernos de protección deben instrumentar políticas de recuperación conscientes del costo, analizando el volumen de recuperación y evaluando anomalías en la inflación del contexto antes de transferir la carga al LLM principal1.