TL; DR
Qué es un ataque de extracción de modelos y por qué el inventario es lo primero.
Un ataque de extracción de modelos copia tu IA a través de su propia API. Sin brechas de seguridad, sin robo de datos, sin malware.
- Cómo funciona: Un ataque de extracción de modelos (también llamado robo de modelos) consulta un punto final de inferencia a gran escala y entrena un clon con las respuestas. En los registros, el atacante parece un usuario frecuente.
- Dónde se encuentra: OWASP clasifica la extracción de modelos en LLM10:2025 Consumo sin límites y enumera un inventario de modelos centralizado entre sus medidas de mitigación.
- Por qué fallan las defensas: Los límites de velocidad, la autenticación y la monitorización solo protegen los puntos finales que usted conoce. Los puntos finales de IA en la sombra no cuentan con ninguna de estas protecciones.
La primera defensa: Un inventario de IA de cada modelo, agente y punto final de inferencia que expone tu código, descubierto desde el origen antes de su distribución. No puedes proteger los puntos finales de inferencia que no hayas inventariado.
Tu modelo puede ser robado sin que nadie toque tus servidores.
Tu equipo dedicó meses a perfeccionar un modelo con datos propios. Este modelo se basa en una API que responde a miles de solicitudes diarias. Ahora imagina que un competidor recupera la mayor parte de su valor por el precio de esas llamadas a la API.
Se trata de un ataque de extracción de modelos. Nadie vulnera tu infraestructura ni descarga tus pesos. El atacante simplemente formula a tu modelo suficientes preguntas bien elegidas, registra las respuestas y entrena una copia.
La mayoría de los equipos responden a este riesgo con límites de velocidad, autenticación y monitorización de resultados. Estos controles funcionan, pero tienen un punto débil: solo protegen los puntos finales de inferencia cuya existencia se conoce. En esta guía, explicamos qué es un ataque de extracción de modelos, cómo funciona el robo de modelos en la práctica y por qué toda defensa comienza con un inventario.
¿Qué es un ataque de extracción de modelos?
Un ataque de extracción de modelos consiste en que un atacante reconstruye una copia funcional de un modelo de aprendizaje automático enviándole consultas y aprendiendo de sus resultados. También se conoce como robo de modelos. El atacante no necesita los pesos originales, los datos de entrenamiento ni el código fuente: la interfaz pública es suficiente.
La idea no es nueva. Los investigadores la demostraron frente a las API de predicción comerciales en 2016 (Tramèr y otros, USENIX Security). En 2024, un equipo de Google DeepMind recuperó parte de un modelo de lenguaje de producción a través de su API pública (Carlini y otros.). ATLAS DE MITRE Registra el mismo comportamiento que una técnica adversaria contra los sistemas de IA.
Para aplicaciones LLM, OWASP incorpora el robo de modelos en LLM10:2025 Consumo sin límitesDescribe dos variantes: la extracción mediante consultas API diseñadas y la replicación funcional, donde el modelo objetivo genera datos sintéticos para ajustar un modelo competidor.
Ataque de extracción de modelos: términos clave
La misma amenaza recibe varios nombres. A continuación, explicamos qué significa cada uno y en qué se superponen.
| Término | Qué significa |
|---|---|
| Ataque de extracción de modelos | Reconstrucción del comportamiento de un modelo a partir de las respuestas a sus consultas. |
| Robo de modelos / robo de modelos | Sinónimos comunes; el robo de modelos también abarca el robo directo de archivos de peso. |
| Replicación del modelo funcional | Utilizar los resultados del objetivo como datos de entrenamiento para un modelo sustituto. |
| Modelo de sombra | El clon del atacante, entrenado para imitar al objetivo. |
Cómo funciona un ataque de extracción de modelos
Todos los ataques de extracción de modelos siguen el mismo ciclo: encontrar un punto final, consultarlo a gran escala y entrenar una copia.
- Encuentra el punto final. El atacante localiza una API de inferencia: un sistema de chat, un servicio de clasificación, un punto final de incrustaciones o un modelo interno al que un socio puede acceder.
- Diseña las consultas. Las entradas se eligen para cubrir el modelo decisEl espacio iónico se distribuye de manera eficiente, a veces combinado con una inyección rápida para obtener respuestas más completas.
- Coseche los productos. Las etiquetas, los índices de confianza, los logits o las respuestas completas al texto filtran información. Cuanto más completa sea la respuesta, más rápido se produce el robo.
- Entrenar al suplente. Los pares de entrada y salida recopilados se convierten en un conjunto de entrenamiento para un modelo de sombra que imita al original.
- Explotar el clon. La copia se utiliza para evitar los costes de licencia, competir directamente o ensayar ataques adversarios sin conexión antes de lanzarlos contra el modelo real.
Lo que dificulta detectar el robo de modelos es que cada solicitud es legítima. La clave está en el volumen, el patrón y, sobre todo, en dónde se envían las solicitudes.
Por qué fallan las defensas habituales: la brecha de inventario
El standard Las recomendaciones para evitar un ataque de extracción de modelos son acertadas: autenticar a quienes llaman, limitar la velocidad de las llamadas, recortar los puntajes de confianza de las respuestas, añadir marcas de agua a las salidas y vigilar los patrones de consulta anómalos. Cada control se aplica por punto final. Y ahí es precisamente donde falla.
La IA ahora se integra en los códigos fuente más rápido de lo que los equipos de seguridad pueden detectarla. Un desarrollador integra un SDK de LLM en un microservicio. Un equipo de datos expone un modelo optimizado para una herramienta interna. Un marco de agente crea su propia capa de servicio. Ninguno de estos cambios pasa por una cola de revisión, y muchos nunca aparecen en una puerta de enlace API ni en un archivo de especificaciones.
El resultado es una IA en la sombra: modelos, agentes y puntos finales de inferencia que existen en producción pero que no figuran en ninguna lista. Un punto final desconocido no tiene límite de uso, ni revisión de autenticación, ni monitorización. Para un ataque de extracción de modelos, es el objetivo ideal.
OWASP apunta en la misma dirección. Entre sus medidas de mitigación para LLM10, recomienda mantener un inventario centralizado de modelos de aprendizaje automático. La lógica es simple: No puedes proteger los puntos finales de inferencia que no hayas inventariado.
Primero, el inventario: descubre cada punto final y luego protégelo.
Un inventario de IA útil responde a cuatro preguntas para cada activo: qué es, dónde está declarado, con qué se comunica y qué lo protege.
| Pregunta de inventario | Por qué es importante en comparación con la extracción de modelos |
|---|---|
| ¿Qué modelos y puntos finales de inferencia existen? | Cada punto final no listado es un objetivo de extracción desprotegido. |
| ¿Dónde se declaran en el código? | Propiedad: alguien debe solucionar el problema del control faltante. |
| ¿Qué datos y herramientas están conectados? | Un modelo entrenado con datos sensibles vale más para robar. |
| Cual guardrails ¿Y se aplican controles? | Muestra las brechas de cobertura antes de que un atacante las encuentre. |
El mejor lugar para construir este inventario es en el código fuente. El código es donde nace un punto final, por lo que descubrir activos de IA en el repositorio los encuentra antes de que lleguen a producción. También vincula cada activo a un proyecto, un commity un equipo, que es lo que convierte una lista en acción.
Dos hábitos más completan el ciclo. Exporta el inventario como una lista de materiales con IA (AI-BOM) para que los equipos de gobernanza y auditoría tengan la misma información. Y vuelve a escanear con cada cambio, ya que la precisión del inventario depende de su última actualización.
Cómo Xygeni cierra la brecha antes de que comience un ataque de extracción de modelos.
Seguridad de IA de Xygeni crea el inventario de IA directamente desde el código fuente. Descubre modelos de IA, agentes, marcos de IA, servidores y herramientas MCP, indicaciones, guardrails, almacenes de vectores, conjuntos de datos, puntos finales de inferencia y herramientas de codificación de IA en todos sus repositorios, incluidos archivos de modelos como .onnx, .pt y .pklTambién se establecen relaciones: qué agente utiliza qué modelo, qué herramientas ejecuta y con qué conjuntos de datos entrena.
Cada activo en el inventario de Activos de IA muestra sus modelos y proveedores, fuentes de datos conectadas con indicadores de PII, cobertura de salvaguardias y campos de gobernanza como la categoría de riesgo de la Ley de IA de la UE. La vista Gráfico de IA muestra cómo se conectan los agentes, los modelos, las herramientas y los conjuntos de datos. Exporta con un solo clic un CycloneDX 1.6 ML-BOM, junto a su SBOM y CBOM.
Del inventario a la protección:
- Detección de riesgos mapeada a OWASP. Los paquetes de detectores cubren las diez categorías principales de OWASP LLM, incluida LLM10 Consumo Ilimitado, por lo que cada hallazgo habla el idioma que usan sus auditores.
- Los controles de punto final se verifican en el código. Seguridad de la API de Xygeni Descubre los puntos finales de la API a partir del código y las especificaciones, e identifica los puntos finales no autenticados, la limitación de velocidad faltante y las API ocultas que se desviaron de la especificación.
- Prueba en la aplicación en ejecución. Xygeni AI Pentesting prueba la aplicación desplegada y demuestra qué vulnerabilidades son explotables.
- Reparar rápido. La función de priorización de IA da prioridad a los hallazgos de IA, y la función de remediación de IA genera directrices de corrección para las diez categorías de OWASP LLM.
Todo se ejecuta como un escaneo estático en CI/CD o localmente, con SaaS, on-premise y opciones aisladas de la red. Los equipos que necesiten que la etapa de revisión semántica se realice internamente pueden ejecutarla en un modelo autoalojado.
Lista de verificación para la prevención de ataques de extracción de modelos
Ocho controles, en orden. Los dos primeros hacen posibles los otros seis.
- InventarioInventarie cada modelo, agente y punto final de inferencia del código fuente y manténgalo actualizado en cada commit.
- Propiedad del activo: Asigne un propietario a cada activo de IA en el inventario.
- AutenticaciónExigir autenticación en todos los puntos finales de inferencia, incluidos los internos.
- Límite de velocidadAplique límites de velocidad, cuotas y tiempos de espera por cada persona que llame.
- Minimización de la producciónDevuelve la información mínima necesaria: descarta las puntuaciones de confianza y los logits donde los usuarios no los necesiten.
- MonitoringSupervise el volumen y los patrones de las consultas para realizar sondeos sistemáticos.
- marcas de aguaConsidere la posibilidad de añadir marcas de agua a los resultados de modelos propietarios de alto valor.
- GobernanzaExporte una lista de materiales basada en IA para fines de gobernanza y auditoría, y asigne los hallazgos a OWASP LLM10.
Encuentra tus puntos finales de inferencia antes de que lo hagan los atacantes.
Un ataque de extracción de modelos solo necesita un punto final que hayas olvidado. Descubre qué IA ejecuta realmente tu código: Vea cómo Xygeni AI Security crea su inventario de IA, or RESERVAR UNA DEMOSTRACIÓN.
Preguntas Frecuentes
¿Cuál es la diferencia entre un ataque de extracción de modelos y una inversión de modelos?
Un ataque de extracción de modelos copia el modelo mismo: su comportamiento y decisLa lógica de los iones. La inversión del modelo se centra en los datos de entrenamiento, intentando reconstruir los registros confidenciales a partir de los cuales el modelo aprendió. Ambos métodos abusan del acceso a las consultas, pero la extracción roba propiedad intelectual, mientras que la inversión filtra datos privados.
¿Puede un ataque de extracción de modelos dirigirse a los modelos LLM, o solo a los modelos ML clásicos?
Ambas. Las primeras investigaciones se centraron en los clasificadores que se encuentran detrás de las API de predicción. Actualmente, OWASP enumera la extracción de modelos y la replicación de modelos funcionales como riesgos de LLM bajo LLM10:2025 Consumo Ilimitado, donde un atacante utiliza las propias salidas de un LLM para ajustar un sustituto.
¿Cómo puedo saber cuáles de mis puntos finales de inferencia están expuestos al robo de modelos?
Comience con un inventario creado a partir del código fuente: cada modelo, agente y punto final de inferencia que declaren sus aplicaciones. Luego, verifique cada uno para comprobar la autenticación, la limitación de velocidad y la exposición de la salida. Xygeni AI Security descubre los activos de IA en sus repositorios y los exporta como una lista de materiales de IA (AI-BOM), y Xygeni API Security marca los puntos finales que carecen de autenticación o limitación de velocidad.
