Guardrails para LLMs en producción: seguridad sin frenar el producto

Las 5 categorías de riesgo

• Prompt injection: el usuario intenta secuestrar el sistema con instrucciones.
• Fuga de PII: el modelo devuelve datos sensibles del contexto.
• Alucinaciones con impacto: respuesta plausible pero falsa en dominio crítico.
• Uso off-topic: el copiloto se usa para tareas fuera de alcance.
• Coste descontrolado: prompts infinitos, loops de agentes.

Guardrails de entrada

Antes de llegar al LLM: clasificación de intención, detección de prompt injection con modelos específicos (Rebuff, Lakera), sanitización de PII y control de longitud. No confíes en que el prompt del sistema aguantará: los jailbreaks públicos evolucionan más rápido que tu prompt.

Guardrails de salida

Antes de devolver al usuario: validación de esquema (JSON/schema), verificación factual contra la fuente cuando hay RAG, filtros de contenido sensible y clasificación de confianza. Si la confianza es baja, degrada a 'no lo sé' o escalado humano.

Observabilidad y auditoría

Cada interacción se loguea con trazabilidad: prompt, contexto recuperado, respuesta, tokens, coste y clasificaciones de riesgo. Retención mínima para poder auditar incidentes y entrenar clasificadores propios sobre datos reales.

Kill switch y presupuesto

Circuit breakers por usuario, por tenant y por endpoint. Un bug de front que llama al LLM en loop puede costar miles de euros en horas. Presupuesto duro con alertas antes del umbral.

Regla de oro

Cualquier acción que modifique estado (crear tickets, enviar emails, ejecutar código) requiere confirmación humana o firma criptográfica de la petición. Un agente que actúa sin confirmación es un incidente en curso.