Modelado de amenazas con IA: elegir una herramienta y usarla

Una herramienta de modelado de amenazas con IA te ayuda a identificar, priorizar y mitigar de forma sistemática los riesgos de seguridad de los sistemas de IA/ML, asociando amenazas como la inyección de prompts, el envenenamiento de datos y el robo de modelos a controles concretos antes de publicar. El mejor enfoque hoy no es un producto, sino un flujo de trabajo: usa un marco estructurado (STRIDE o PASTA) para la capa de aplicación, añade el OWASP Top 10 for LLM Applications para los riesgos propios de los LLM y cruza con MITRE ATLAS para los patrones de ataque de ML adversario. Las herramientas automatizan los diagramas y la enumeración de amenazas; el marco decide qué estás buscando realmente.

¿Puede la IA hacer modelado de amenazas, y debería?

Sí, en parte. Los grandes modelos de lenguaje son realmente buenos en la tediosa primera pasada del modelado de amenazas: a partir de un diagrama de flujo de datos o una descripción de la arquitectura, pueden enumerar amenazas plausibles, sugerir mitigaciones y asociarlas a categorías STRIDE. Es el uso de la IA en ingeniería de seguridad que más rápido crece, porque comprime horas de pizarra en minutos.

Pero hay una pega que conviene nombrar con claridad: una IA que genera tu modelo de amenazas es en sí misma una superficie de ataque. Si introduces detalles de tu arquitectura en un modelo de terceros, has creado una vía de exfiltración de datos. Y los LLM alucinan mitigaciones: recomendarán con seguridad un control que no aplica. Trata los modelos de amenazas generados por IA como un borrador que revisa una persona, nunca como el artefacto final. El reparto correcto es IA para la cobertura, personas para el criterio.

Qué marcos usan realmente las mejores herramientas

Una herramienta de modelado de amenazas solo es tan buena como la biblioteca de amenazas que tiene detrás. Para los sistemas de IA, importan tres fuentes:

• OWASP Top 10 for LLM Applications: sitúa la inyección de prompts como su categoría de riesgo n.º 1, por delante del manejo inseguro de salidas y del envenenamiento de datos de entrenamiento. Si tu herramienta no cubre explícitamente la inyección de prompts, el manejo de salidas y el envenenamiento de la cadena de suministro/los datos, no está modelando el riesgo de los LLM.
• MITRE ATLAS: cataloga casos reales de ataques contra sistemas de ML/IA, organizados por tácticas desde el reconocimiento hasta el impacto. Úsalo como usarías ATT&CK: para comprobar si tus controles cubren cada táctica del adversario, no solo las que se te ocurrieron.
• STRIDE: sigue siendo la columna vertebral de la aplicación que lo rodea. Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service y Elevation of Privilege se aplican a tu pasarela de API, tu autenticación y tus almacenes de datos, sea cual sea la IA que haya dentro.

El cumplimiento también es ahora una entrada real. La Ley de IA de la UE entró en vigor el 1 de agosto de 2024 y clasifica los sistemas de IA en cuatro niveles de riesgo (inaceptable, alto, limitado y mínimo), con obligaciones que se aplican de forma escalonada hasta 2027. Si tu sistema cae en el nivel de «alto riesgo», tu modelo de amenazas tiene que demostrar la gestión del riesgo, no solo enumerarlo.

Opciones gratuitas y de código abierto que merece la pena conocer

No necesitas comprar nada para empezar. Herramientas prácticas y sin coste:

• OWASP Threat Dragon (gratuita, en GitHub): modelado STRIDE basado en diagramas que se integra en un flujo de trabajo con Git, de modo que los modelos de amenazas viven junto al código y se revisan en pull requests.
• Microsoft Threat Modeling Tool (gratuita): herramienta STRIDE madura, fuerte para arquitecturas de aplicación clásicas y más débil en amenazas propias de la IA.
• pytm (código abierto, Python): modelos de amenazas como código, ideal si quieres versionarlos y compararlos como cualquier otro artefacto.
• MITRE ATLAS Navigator: el ATT&CK Navigator adaptado a las tácticas de IA, útil para mapear la cobertura y analizar carencias.

Para la IA en concreto, la vía gratuita más rápida es combinar una herramienta de diagramas (Threat Dragon) con un LLM al que le das el OWASP LLM Top 10 como lista de comprobación. Eso te da una salida estructurada más cobertura asistida por IA sin exponer una arquitectura sensible a un SaaS comercial de modelado de amenazas.

Cómo hacer tu primera pasada de modelado de amenazas de IA

Un método concreto y priorizado que puedes aplicar esta semana:

• Dibuja el flujo de datos. Mapea cada frontera de confianza: entrada del usuario, construcción del prompt, llamada al modelo, renderizado de la salida y cualquier llamada a herramientas/funciones que pueda desencadenar el modelo.
• Empieza por el riesgo n.º 1. Como OWASP sitúa la inyección de prompts en primer lugar, empieza por ahí. Pregúntate: ¿puede una entrada no fiable llegar al prompt? ¿Puede la salida del modelo ejecutar acciones sin validación? Estas dos preguntas sacan a la luz la mayoría de los incidentes con LLM.
• Recorre las tácticas de ATLAS. Para cada fase (reconocimiento, acceso al modelo, envenenamiento, evasión, exfiltración, impacto), pregúntate si tienes un control de detección o de prevención.
• Añade detección de amenazas para el propio modelo. Registra y vigila prompts anómalos, activaciones de los guardrails de salida y tasas de consulta anormales que indiquen intentos de extracción o evasión del modelo. La detección cierra la brecha que el modelado previo al despliegue no puede cerrar.
• Ordena por explotabilidad × impacto.

Preguntas frecuentes

¿Puede la IA hacer modelado de amenazas, y debería?

Sí, en parte. Los grandes modelos de lenguaje son realmente buenos en la tediosa primera pasada del modelado de amenazas: a partir de un diagrama de flujo de datos o una descripción de la arquitectura, pueden enumerar amenazas plausibles, sugerir mitigaciones y asociarlas a categorías STRIDE.

¿Qué marcos usan las mejores herramientas de modelado de amenazas con IA?

Una herramienta de modelado de amenazas solo es tan buena como la biblioteca de amenazas que tiene detrás. Para los sistemas de IA, importan tres fuentes: OWASP Top 10 for LLM Applications: sitúa la inyección de prompts como su categoría de riesgo n.º 1, por delante del manejo inseguro de salidas y del envenenamiento de datos de entrenamiento.

¿Qué herramientas gratuitas y de código abierto de modelado de amenazas con IA merece la pena conocer?

No necesitas comprar nada para empezar. Herramientas prácticas y sin coste: OWASP Threat Dragon (gratuita, en GitHub): modelado STRIDE basado en diagramas que se integra en un flujo de trabajo con Git, de modo que los modelos de amenazas viven junto al código y se revisan en pull requests.

¿Cómo haces tu primera pasada de modelado de amenazas de IA?

Un método concreto y priorizado que puedes aplicar esta semana: Dibuja el flujo de datos. Mapea cada frontera de confianza: entrada del usuario, construcción del prompt, llamada al modelo, renderizado de la salida y cualquier llamada a herramientas/funciones que pueda desencadenar el modelo. Empieza por el riesgo n.º 1.