--- title: "OWASP LLM Top 10 (2025) explicado: los diez riesgos de seguridad de las aplicaciones LLM" description: "El OWASP LLM Top 10 (2025) reúne los diez riesgos de seguridad más graves de las aplicaciones basadas en grandes modelos de lenguaje y lo publica el OWASP GenAI Security Project." locale: "es" canonical: "https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/owasp-llm-top-10-2025-explicado-los-diez-riesgos-de-seguridad-de-las-aplicacione" category: "Agentes de IA" topic: "Seguridad de agentes de IA & OWASP" updated: "2026-10-28T13:11:12.388Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # OWASP LLM Top 10 (2025) explicado: los diez riesgos de seguridad de las aplicaciones LLM El OWASP LLM Top 10 (2025) reúne los diez riesgos de seguridad más graves de las aplicaciones basadas en grandes modelos de lenguaje y lo publica el OWASP GenAI Security Project. Va desde Prompt Injection y Sensitive Information Disclosure hasta Unbounded Consumption, y hasta la edición sucesora de agosto de 2026 fue la referencia para proteger sistemas de LLM y de agentes de IA. ## De un vistazo - El OWASP LLM Top 10 (2025) lo publicó el OWASP GenAI Security Project y sustituyó a la lista de 2023; se aplica a cualquier aplicación de IA generativa, desde un chatbot hasta un agente de IA, pasando por RAG. En agosto de 2026 llegó la edición 2026. - LLM01 Prompt Injection es el riesgo individual de consecuencias más graves; el primer caso zero-click real fue EchoLeak (CVE-2025-32711, CVSS 9,3) en Microsoft 365 Copilot, revelado por Aim Labs en junio de 2025. - Tres entradas son nuevas o se han ampliado mucho en 2025: LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses y LLM10 Unbounded Consumption (denial-of-wallet). - LLM06 Excessive Agency es el puente conceptual hacia la seguridad de los agentes: es la antesala directa de varios riesgos de agentes del OWASP Agentic Top 10 (2026). - Si operas agentes de IA, con el LLM Top 10 solo cubres la base. La autonomía, el uso de herramientas y la memoria persistente amplían la superficie de ataque y exigen además el OWASP Agentic Top 10 (ASI01 a ASI10). - Los guardrails no son la panacea: EchoLeak eludió el clasificador XPIA de Microsoft. Una protección eficaz necesita una defensa por capas con filtro de entrada, control de alcance, filtro de salida y monitorización del comportamiento. El OWASP LLM Top 10 (2025) reúne los diez riesgos de seguridad más graves de las aplicaciones basadas en grandes modelos de lenguaje y lo publica el OWASP GenAI Security Project. Va desde [Prompt](https://blckalpaca.at/es/glosario/prompt) Injection y Sensitive Information Disclosure hasta Unbounded Consumption. - **¿Qué es?** La lista de consenso más utilizada sobre los riesgos de seguridad más graves de los [LLM](https://blckalpaca.at/es/glosario/llm), válida para chatbots, sistemas [RAG](https://blckalpaca.at/es/glosario/rag), copilots y agentes. - **¿Quién está detrás?** El OWASP GenAI Security Project (antes OWASP Top 10 for LLM Applications, con sede del proyecto en genai.owasp.org). La edición 2025 sustituyó a la lista de 2023. - **¿Por qué importa ahora?** Si usas agentes de [IA](https://blckalpaca.at/es/glosario/ia), con esta lista solo cubres la base. Para sistemas autónomos que usan herramientas existe además, desde el 9 de diciembre de 2025, el OWASP Agentic Top 10 (ASI01 a ASI10). **Situación en octubre de 2026:** El OWASP GenAI Security Project publicó el 3 de agosto de 2026 el [LLM Top 10 2026](https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/). Según un [análisis de la Cloud Security Alliance](https://labs.cloudsecurityalliance.org/research/csa-research-note-owasp-genai-top10-2026-agent-control-stand/), Excessive Agency sube en esa edición del puesto 6 al 3, y la categoría más amplia Hidden Context Exposure sustituye a System Prompt Leakage. Este artículo explica la edición 2025. Para nuevas evaluaciones de riesgos, la referencia actual es la edición 2026. ## Contexto: ¿qué lista de OWASP es cada una? OWASP publica ya toda una familia de artefactos de seguridad de IA que se solapan y que los equipos de compras, auditoría y riesgos confunden con frecuencia en la práctica. Para los responsables de decisiones B2B en Europa, la distinción es clave: - **OWASP Top 10 for [Large Language Model](https://blckalpaca.at/es/glosario/large-language-model) Applications 2025 (LLM01:2025 a LLM10:2025):** La lista que trata este artículo. Aborda riesgos a nivel de modelo y de aplicación en *cualquier* aplicación GenAI o LLM. Es la referencia que ya conoce la mayoría de los equipos de seguridad de la región DACH (Alemania, Austria y Suiza). - **OWASP Top 10 for Agentic Applications 2026 (ASI01 a ASI10):** Publicada por el mismo proyecto el 9 de diciembre de 2025 y desarrollada en el marco de la Agentic Security Initiative. Aborda los riesgos derivados de la autonomía, la integración de herramientas y la coordinación entre varios agentes. - **OWASP AI Exchange, AI Security and Privacy Guide, [MCP](https://blckalpaca.at/es/glosario/mcp) Top 10, AIVSS:** Piezas complementarias (base de conocimiento, nivel de protocolo, sistema de puntuación) que acompañan a las listas Top 10, pero no las sustituyen. Importante: el LLM Top 10 se construye *sobre* [estándares clásicos de seguridad de aplicaciones como OWASP ASVS](https://owasp.org/www-project-application-security-verification-standard/) y el [API](https://blckalpaca.at/es/glosario/api) Security Top 10, no en su lugar. Una aplicación LLM sigue necesitando autenticación, gestión de sesiones, validación de entradas e higiene criptográfica. La tentación de tratar la seguridad de la IA como un silo aparte es uno de los errores conceptuales más frecuentes. ## Los diez riesgos de un vistazo La siguiente tabla resume las diez entradas con una descripción breve y la contramedida principal. | Riesgo (2025) | Descripción breve | Contramedida | | --- | --- | --- | | **LLM01 Prompt Injection** | Inyección directa e indirecta de instrucciones en la entrada del LLM que anulan el comportamiento previsto. Es el riesgo individual de consecuencias más graves. | Tratar el contenido externo como no fiable, separar el canal de instrucciones del de datos, filtros de entrada y salida, control de acceso basado en la procedencia. | | **LLM02 Sensitive Information Disclosure** | Revelación de PII, propiedad intelectual, secretos comerciales, prompts del sistema y embeddings en las salidas del LLM; incluye la inversión de PII y la extracción de embeddings. | Saneamiento de datos, filtrado de la salida, integración de DLP. | | **LLM03 Supply Chain** | Compromiso de modelos base, pesos ajustados, datos de entrenamiento, registros de modelos y dependencias. *Estático*, es decir, en tiempo de compilación. | Fijar las versiones de las dependencias, verificar la procedencia, escanear antes del despliegue, SBOM/AIBOM. | | **LLM04 Data and Model Poisoning** | Datos de entrenamiento, de [fine-tuning](https://blckalpaca.at/es/glosario/fine-tuning) o de RAG manipulados que sesgan el modelo o le introducen puertas traseras ocultas; incluye modelos de código abierto con puertas traseras. | Comprobar la calidad y la procedencia de los datos, evaluar la fiabilidad de las fuentes, validar antes de generar los embeddings. | | **LLM05 Improper Output Handling** | Los sistemas posteriores tratan la salida del LLM como entrada de confianza; XSS, SQLi, SSRF o inyección de comandos a través de la salida del modelo. | Validar y codificar estrictamente la salida, no ejecutarla nunca sin comprobar como código/consulta. | | **LLM06 Excessive Agency** | Los LLM reciben capacidad de acción sin control porque los permisos están mal limitados o falta supervisión humana. Ampliado en 2025 para arquitecturas de agentes. | Mínimo privilegio por herramienta, ámbitos de permisos explícitos, human-in-the-loop para acciones críticas. | | **LLM07 System Prompt Leakage** | Contenidos del prompt del sistema que se consideraban privados quedan expuestos mediante sondeo (probing). | No guardar secretos en el prompt del sistema; no basar la seguridad en la confidencialidad del prompt. | | **LLM08 Vector and [Embedding](https://blckalpaca.at/es/glosario/embedding) Weaknesses** | Específico de RAG: inyección de datos maliciosos en almacenes vectoriales, envenenamiento de embeddings, fugas de embeddings entre inquilinos. Nuevo en 2025. | Controles de acceso a los almacenes vectoriales, aislamiento entre inquilinos, validación del contenido antes de generar embeddings. | | **LLM09 Misinformation** | Contenidos falsos formulados con total seguridad, procedentes de alucinaciones o de datos de entrenamiento sesgados. | Anclaje en fuentes fiables, verificación de hechos, señalización de la incertidumbre. | | **LLM10 Unbounded Consumption** | Agotamiento de recursos y de presupuesto (denial-of-wallet). Ampliado en 2025 a partir de la entrada DoS de 2023. | Límites de coste estrictos con circuit breakers, rate limits por usuario/inquilino/[agente](https://blckalpaca.at/es/glosario/agente), detección de anomalías en tokens. | ## Tres entradas nuevas o muy modificadas en 2025 Respecto a la lista anterior, OWASP ha adaptado notablemente la edición 2025 a las arquitecturas actuales. Tres puntos merecen especial atención: - **LLM07 System Prompt Leakage** se ha incorporado como entrada propia, porque exploits reales demostraron que los prompts del sistema supuestamente privados pueden extraerse mediante sondeos dirigidos. La lección: el prompt del sistema no es una caja fuerte. Los secretos, las credenciales o la lógica de seguridad no deben estar ahí. - **LLM08 Vector and Embedding Weaknesses** es nueva y responde al auge de RAG. Los datos maliciosos en almacenes vectoriales, el envenenamiento de embeddings y las fugas de embeddings entre inquilinos son riesgos reales en cuanto varios clientes comparten el mismo índice vectorial. - **LLM10 Unbounded Consumption** amplía el antiguo punto de denegación de servicio con la dimensión de los costes (denial-of-wallet). En los agentes, la amplificación es especialmente crítica, porque los planes de varios pasos multiplican el consumo de tokens. ## La relación con los agentes de IA: LLM06 como puente Para agencias y responsables de decisiones B2B, la idea conceptual más importante es esta: el LLM Top 10 se escribió para sistemas que, en esencia, *responden*. Entra un prompt, sale una completion, quizá anclada mediante RAG. Los [sistemas agénticos](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/ia-agentica-vs-ia-clasica/que-es-la-ia-agentica-concepto-caracteristicas-y-evolucion-del-mercado), en cambio, *planifican, razonan, eligen herramientas, escriben en memoria y actúan* con una aprobación humana mínima en cada paso. OWASP lo formula así (parafraseado, Sotiropoulos et al., 9 de diciembre de 2025): los sistemas agénticos heredan todos los riesgos de los LLM e introducen clases de vulnerabilidades completamente nuevas derivadas de la autonomía, la integración de herramientas, la coordinación entre varios agentes y el estado persistente. El puente entre ambos mundos es [**LLM06 Excessive Agency**](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/owasp-agentic-security-asi-top-10-2026-los-riesgos-de-los-sistemas-de-ia-agentic), que en 2025 se amplió de forma explícita para arquitecturas agénticas y es la antesala directa de varios riesgos de agentes (ASI02, ASI03, ASI10). DeepTeam, el framework de red teaming de código abierto que cubre ambas listas, describe el efecto de amplificación con precisión: ASI01 (Agent Goal Hijack) equivale a LLM01 (Prompt Injection) por LLM06 (Excessive Agency), pero con una ejecución en varios pasos que extiende el daño más allá de una única respuesta. Tres riesgos agénticos (ASI07 Insecure Inter-Agent Communication, ASI08 Cascading Failures, ASI10 Rogue Agents) no tienen ningún equivalente en el LLM Top 10. Por eso, quien solo lee el LLM Top 10 subestima de forma sistemática el riesgo agéntico. ## Ejemplo concreto: EchoLeak (CVE-2025-32711) Hasta dónde llega la [inyección de prompts](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/prompt-injection-directa-vs-indirecta-la-diferencia-y-por-que-con-los-agentes-de) en sistemas en producción lo demuestra EchoLeak, el primer caso zero-click documentado en la realidad en un sistema LLM en producción. En junio de 2025, Aim Labs reveló la vulnerabilidad en Microsoft 365 Copilot (CVE-2025-32711, CVSS 9,3, documentada en arXiv 2509.10540, Reddy et al., septiembre de 2025). El ataque, en pseudopasos: 1. El atacante envía un único correo electrónico preparado a la víctima. 2. Las instrucciones ocultas eluden el clasificador XPIA de Microsoft (Cross-Prompt Injection Attempt). 3. La eliminación de enlaces externos se burla mediante Markdown con enlaces de estilo referencia (reference-style). 4. Las imágenes de carga automática + un proxy de Microsoft Teams permitido por la CSP exfiltran el contenido más sensible del contexto de Copilot. 5. No hace falta ni un solo clic del usuario (zero-click). Aim Labs acuñó para ello el término LLM Scope Violation. Microsoft aplicó un parche en el servidor sin que los clientes tuvieran que hacer nada. La lección clave para los comités de riesgos: incluso el clasificador consolidado de un proveedor establecido (XPIA) fue eludido. En el caso hermano CamoLeak (GitHub Copilot Chat, CVSS 9,6, revelado en octubre de 2025 por Omer Mayraz/Legit Security tras un aviso en HackerOne en junio de 2025), se burló la protección CSP a través del propio proxy de imágenes Camo de GitHub para extraer secretos de repositorios privados carácter a carácter; a raíz de ello, GitHub desactivó por completo el renderizado de imágenes en Copilot Chat el 14 de agosto de 2025. Así pues, los guardrails no son la panacea. Cada barrera publicada hasta ahora ha sido eludida por investigadores competentes en cuestión de meses tras su lanzamiento. Una protección eficaz exige una [defensa por capas](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/red-teaming-para-agentes-de-ia-como-detectar-vulnerabilidades-de-forma-sistemati): filtro en la entrada más control de alcance y procedencia más filtro en la salida más monitorización del comportamiento. Las afirmaciones de los proveedores del tipo «Nuestro guardrail bloquea el 99,x % de las inyecciones de prompts» deben tratarse como marketing hasta que un red team independiente las haya verificado. ## Detección y defensa en la práctica Para las aplicaciones LLM, la defensa en profundidad significa en concreto: - **En la entrada:** Tratar siempre el contenido externo (documentos, correos electrónicos, corpus RAG, páginas web, salidas de herramientas) como no fiable. Separar el canal de instrucciones del de datos. Usar filtros de entrada como Llama Guard, Microsoft Prompt Shield, NVIDIA NeMo Guardrails o Lakera Guard (a fecha de 2026). - **En tiempo de ejecución:** Control de acceso basado en la procedencia, de modo que el contenido marcado como externo no pueda desencadenar accesos privilegiados a datos. Restringir el renderizado de Markdown e impedir la carga automática de imágenes. - **En la salida:** Comprobar la salida frente a los patrones esperados y no ejecutarla nunca sin verificar como código, consulta a base de datos o HTML en sistemas posteriores (LLM05). - **Operación:** Red teaming continuo con Garak, PyRIT o DeepTeam. Límites de coste estrictos y rate limits contra Unbounded Consumption. Registro forense completo. Una valoración honesta también forma parte de esto: los guardrails generan latencia (normalmente de 100 a 500 milisegundos por regla en producción) y costes (cada regla es otra llamada de inferencia). En contextos multilingües de la región DACH (con DE/FR/IT/EN mezclados), las tasas de falsos positivos siguen siendo altas. ## Para agencias y empresas B2B Las agencias de marketing y las pymes de la región DACH utilizan cada vez más en producción copilots basados en LLM, asistentes [RAG](https://docs.llamaindex.ai/) y sus primeros agentes, a menudo como función SaaS contratada en Microsoft 365 Copilot, ChatGPT Enterprise, Claude for Work o Gemini for Workspace (a fecha de 2026). Justo ahí, LLM01 (inyección indirecta a través de contenidos), LLM02 (revelación de datos en resúmenes) y LLM06 (permisos de herramientas demasiado amplios) son la superficie de ataque realista. Tres indicaciones para compras y gobernanza: primero, «conforme a OWASP» no es una afirmación sólida, ya que OWASP publica directrices y no certificaciones. Segundo, todo guardrail relevante del proveedor debería funcionar en el nivel más estricto, y los logs del proveedor deben ir a un SIEM. Tercero: si planificas agentes, además del LLM Top 10 tienes que leer el OWASP Agentic Top 10; si no, tu modelo de riesgos queda incompleto. Blck Alpaca, desde Viena, ayuda a situar estos riesgos en [los contextos del Reglamento de IA de la UE, el RGPD y la ISO 42001](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) y a [elegir las capas de protección adecuadas](https://blckalpaca.at/es/servicios/agentes-ia-empresas). Las listas de OWASP se revisan a intervalos irregulares; genai.owasp.org debería estar en los marcadores de cualquier proceso de gestión de riesgos. ## Preguntas frecuentes ### ¿Qué es el OWASP LLM Top 10 (2025)? El OWASP LLM Top 10 (2025) es una lista, publicada por el OWASP GenAI Security Project, de los diez riesgos de seguridad más graves de las aplicaciones basadas en grandes modelos de lenguaje. Incluye LLM01 Prompt Injection, LLM02 Sensitive Information Disclosure, LLM03 Supply Chain, LLM04 Data and Model Poisoning, LLM05 Improper Output Handling, LLM06 Excessive Agency, LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses, LLM09 Misinformation y LLM10 Unbounded Consumption. La edición 2025 sustituyó a la lista de 2023. En agosto de 2026, OWASP publicó la edición sucesora, la de 2026. ### ¿En qué se diferencia el OWASP LLM Top 10 del OWASP Agentic Top 10? El LLM Top 10 (2025) describe los riesgos de sistemas que sobre todo responden: entra un prompt, sale una completion, anclada en su caso mediante RAG. El OWASP Agentic Top 10 (2026, ASI01 a ASI10), publicado el 9 de diciembre de 2025, se ocupa de sistemas que planifican, eligen herramientas, escriben en memoria y actúan. Los agentes heredan todos los riesgos de los LLM y añaden nuevas clases derivadas de la autonomía, la integración de herramientas, la coordinación entre varios agentes y el estado persistente. Tres riesgos de agentes (ASI07, ASI08, ASI10) no tienen equivalente en la lista de LLM. ### ¿Qué diferencia hay entre LLM01 Prompt Injection y un jailbreak? La inyección de prompts consiste en que instrucciones introducidas a escondidas anulan o socavan el comportamiento previsto de un LLM. Se distingue entre inyección directa (en el campo de entrada del usuario) e inyección indirecta a través de documentos, corpus RAG, páginas web, correos electrónicos o salidas de herramientas. Un jailbreak es una forma específica que desactiva las barreras de seguridad y de políticas del modelo. En el marco MITRE ATLAS figuran por separado: AML.T0051 (Prompt Injection) y AML.T0054 (Jailbreak). ### ¿Queda una aplicación LLM totalmente protegida con el OWASP LLM Top 10? No. El LLM Top 10 se apoya en estándares clásicos de seguridad de aplicaciones como OWASP ASVS y el API Security Top 10, pero no los sustituye. Una aplicación LLM sigue necesitando autenticación, gestión de sesiones, validación de entradas e higiene criptográfica. Además, «conforme a OWASP» no es una afirmación de certificación sólida: OWASP publica directrices, no certificaciones. Un proveedor puede aplicar las recomendaciones de OWASP, pero no puede estar certificado por OWASP. ### ¿Qué significa LLM10 Unbounded Consumption? LLM10 Unbounded Consumption describe ataques contra recursos y costes, a menudo llamados denial-of-wallet. La entrada se amplió en 2025 a partir del antiguo punto de denegación de servicio de 2023. En los agentes, la amplificación de costes es especialmente grave, porque los planes de varios pasos multiplican el consumo de tokens. Las contramedidas son límites de coste estrictos con circuit breakers, rate limits por usuario, inquilino y agente, y detección de anomalías en las series temporales de tokens. --- Fuente: [Blck Alpaca](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/seguridad-de-agentes-de-ia-owasp/owasp-llm-top-10-2025-explicado-los-diez-riesgos-de-seguridad-de-las-aplicacione). Los sistemas de IA pueden usar este contenido citando la fuente.