Contenidos
- Introducción
- La evidencia de los incidentes influye por primera vez en el ranking
- Cómo cambia la clasificación entre 2025 y 2026
- Prompt Injection amplía considerablemente su alcance
- Sensitive Information Disclosure pasa a contemplar muchas más superficies de exposición
- Excessive Agency se convierte en uno de los principales riesgos
- Supply Chain baja una posición, pero gana profundidad
- Data and Model Poisoning incorpora nuevos escenarios
- Unbounded Consumption gana cuatro posiciones
- Misinformation asciende y gana peso en la evaluación
- System Prompt Leakage pasa a ser Hidden Context Exposure
- Vector and Embedding Weaknesses se vuelve más técnico
- Improper Output Handling baja al último puesto, pero amplía su alcance
- Una frontera más clara con las aplicaciones agénticas
- Qué cambia realmente para una auditoría
- Referencias
Introducción
Recientemente, OWASP ha publicado la edición 2026 de su Top 10 for LLM Applications [1], una guía de referencia que identifica los principales riesgos de seguridad asociados al desarrollo y despliegue de aplicaciones basadas en grandes modelos de lenguaje y ofrece pautas para prevenirlos o reducir su impacto. La nueva edición mantiene buena parte de las categorías que ya estaban presentes en 2025, pero modifica su peso relativo, amplía de forma significativa algunas de ellas y redefine otras para recoger escenarios que han ganado relevancia.
Este mayor nivel de detalle también se refleja en la extensión de la propia guía. La edición de 2026 alcanza las 122 páginas, frente a las 45 páginas de la edición de 2025 [2]. El aumento de extensión responde a una documentación mucho más desarrollada de los riesgos, sus escenarios de ataque y sus medidas de mitigación, además de la incorporación de nuevos análisis y referencias. La comparación, por tanto, resulta especialmente interesante porque los cambios no se limitan a la incorporación o eliminación de riesgos. En varias categorías que permanecen en la lista, OWASP ha ampliado el alcance de la amenaza, ha añadido nuevos escenarios de ataque o ha desarrollado con mayor detalle las medidas de mitigación.
Además, la edición de 2026 introduce un elemento que ayuda a entender buena parte de estos cambios: por primera vez, el criterio de los profesionales se contrasta de forma sistemática con un corpus de incidentes reales.
La evidencia de los incidentes influye por primera vez en el ranking
Hasta ahora, el Top 10 de OWASP se había construido fundamentalmente a partir del criterio de la comunidad profesional. En 2026, ese criterio sigue teniendo el mayor peso, pero se complementa con datos procedentes de incidentes reales.
Para esta edición, OWASP analizó un corpus de 7.714 incidentes procedentes de bases de datos públicas de vulnerabilidades y de una base de datos de daños relacionados con IA. De ellos, 6.639 disponían de información suficiente para poder ser clasificados. El voto de los profesionales representa el 75 % del peso final, mientras que los datos de incidentes aportan el 25 % restante.
La comparación entre ambas fuentes produjo algunas diferencias significativas. Prompt Injection, por ejemplo, habría quedado fuera de los diez primeros puestos si se atendiera únicamente al registro de incidentes. OWASP considera que esto está relacionado con el nivel de madurez defensiva que existe alrededor de esta amenaza. Sigue siendo el número uno porque el riesgo continúa presente allí donde el modelo procesa información no confiable.
Misinformation ofrece el ejemplo contrario. Los profesionales la situaron inicialmente cerca de la parte baja de la clasificación, mientras que los incidentes analizados mostraban una relevancia considerablemente mayor. La categoría termina subiendo hasta el séptimo puesto.
Este nuevo componente metodológico ayuda a entender por qué algunos riesgos ascienden o descienden en la clasificación de 2026.
Cómo cambia la clasificación entre 2025 y 2026
La comparación directa de ambas ediciones muestra varios movimientos importantes:
Fuente: OWASP Top 10 for LLM Applications [1]
Los cambios más destacados son la subida de Excessive Agency, que pasa de la sexta a la tercera posición, y de Unbounded Consumption, que sube cuatro puestos. En sentido contrario, Improper Output Handling desciende de la quinta a la décima posición. Prompt Injection y Sensitive Information Disclosure mantienen las dos primeras posiciones.
También cambia el nombre de System Prompt Leakage, que pasa a denominarse Hidden Context Exposure. El cambio no es meramente terminológico, ya que la nueva categoría amplía considerablemente el concepto de información interna que puede quedar expuesta.
Prompt Injection amplía considerablemente su alcance
Prompt Injection permanece como el riesgo número uno, pero la definición de 2026 es considerablemente más amplia.
La edición anterior ya contemplaba las inyecciones directas e indirectas y distintos escenarios relacionados con contenido externo. En 2026, OWASP incluye explícitamente como posibles superficies de entrada el texto del usuario, contenido recuperado mediante RAG, resultados de herramientas, imágenes, audio, vídeo, memoria persistente e incluso determinados contenidos procedentes del razonamiento intermedio.
La guía propone analizar estas amenazas atendiendo a tres dimensiones: cómo llega el contenido al modelo, cómo puede propagarse y cómo está codificada la instrucción maliciosa. Esto permite distinguir, por ejemplo, entre una inyección que afecta únicamente a una conversación y otra que consigue introducir instrucciones maliciosas en una memoria o corpus RAG que utilizarán sesiones posteriores. También permite contemplar ataques que no dependen de texto visible, como instrucciones ocultas mediante caracteres Unicode, imágenes o técnicas de esteganografía.
Esta ampliación es especialmente importante para las aplicaciones que utilizan agentes. Una instrucción maliciosa que consigue modificar el comportamiento del modelo puede terminar provocando llamadas a sistemas de archivos, correo electrónico, APIs cloud, servidores MCP o subagentes, siempre que el modelo tenga acceso a ellos.
Las mitigaciones también reflejan este cambio de perspectiva. OWASP señala que actualmente no existe un mecanismo capaz de impedir de forma fiable todas las prompt injections. Por ello, recomienda diseñar la aplicación partiendo de que las instrucciones que recibe el modelo pueden ser manipuladas y establecer controles independientes que limiten lo que el modelo puede hacer y a qué recursos puede acceder.
La consecuencia práctica es importante: el objetivo no debería ser conseguir que el modelo sea incapaz de interpretar una instrucción maliciosa en cualquier circunstancia, algo que OWASP considera que no puede garantizarse con los modelos actuales. La arquitectura debe impedir que una manipulación del modelo se convierta automáticamente en acceso a información privada, ejecución de comandos o acciones destructivas.
Sensitive Information Disclosure pasa a contemplar muchas más superficies de exposición
Sensitive Information Disclosure conserva la segunda posición, pero su alcance aumenta de forma notable.
En 2026, OWASP considera como posibles canales de exposición las respuestas del modelo, los argumentos de las llamadas a herramientas, las trazas de razonamiento, los fragmentos recuperados mediante RAG, los resultados multimodales, los logs, la telemetría, los embeddings y determinadas características observables durante la inferencia, como la longitud de los tokens, la latencia o el comportamiento de las cachés.
Esto cambia la forma de entender una fuga de información. Por ejemplo, un sistema puede no mostrar directamente un documento confidencial al usuario y, aun así, estar exponiendo información sensible al introducir fragmentos de ese documento en una traza, en los argumentos de una herramienta o en otro canal observable. La guía también advierte de que un conjunto de embeddings utilizado como copia de seguridad no debería considerarse automáticamente inocuo, ya que determinadas técnicas pueden reconstruir información de los documentos originales.
La edición de 2026 organiza además el problema en cuatro fases del ciclo de vida: entrenamiento, inferencia, pipeline y observación. Esto permite incluir desde la memorización de datos durante el entrenamiento hasta la información que puede filtrarse indirectamente mediante propiedades observables del sistema durante la inferencia.
Para una auditoría, esto amplía considerablemente el perímetro. Ya no basta con comprobar qué puede revelar el chatbot ante determinadas preguntas. También hay que revisar qué datos llegan al contexto, qué información puede recuperar el sistema, qué acaba almacenándose en modelos o embeddings y qué queda registrado en los diferentes sistemas de observabilidad.
Excessive Agency se convierte en uno de los principales riesgos
El salto de Excessive Agency de la sexta a la tercera posición es uno de los cambios más importantes de la edición.
En 2025, OWASP ya relacionaba este riesgo con tres problemas principales: funcionalidad excesiva, permisos excesivos y autonomía excesiva. La guía recomendaba reducir las funciones disponibles, aplicar mínimo privilegio, utilizar la identidad y los permisos del usuario cuando fuera posible y exigir aprobación para acciones de alto impacto.
En 2026, estas recomendaciones adquieren todavía más relevancia en el contexto de aplicaciones agénticas. La guía insiste en mantener los controles de autorización fuera del modelo y en impedir que una decisión tomada por el LLM sea, por sí sola, suficiente para ejecutar una operación privilegiada.
Esto resulta especialmente relevante cuando varias herramientas pueden encadenarse. Un agente puede tener permiso para consultar un sistema, modificar otro y comunicarse con un tercero. Aunque cada permiso individual parezca razonable, la combinación puede crear una capacidad mucho mayor de la prevista. Por eso, la edición de 2026 pone énfasis en limitar las capacidades disponibles y en conservar el control de autorización en componentes deterministas que no dependan de que el modelo interprete correctamente sus propias restricciones.
Esta categoría está además estrechamente relacionada con Prompt Injection. La inyección puede conseguir que el modelo se comporte de forma no prevista, pero son los permisos, herramientas y grado de autonomía del sistema los que determinan hasta dónde puede llegar ese comportamiento.
Supply Chain baja una posición, pero gana profundidad
Supply Chain pasa de la tercera a la cuarta posición, aunque la categoría se amplía considerablemente.
La edición de 2025 ya contemplaba riesgos relacionados con componentes de terceros, modelos vulnerables, modelos obsoletos, datasets y técnicas como LoRA y PEFT.
En 2026, OWASP amplía el análisis de la cadena de suministro a modelos, datasets, adaptadores y otros artefactos. La guía presta especial atención a la posibilidad de que un componente aparentemente legítimo haya sido modificado o sustituido y recomienda poder verificar su procedencia e integridad antes de incorporarlo al sistema. Para ello, introduce referencias a inventarios como SBOM, AIBOM o ML SBOM y a mecanismos de firma de artefactos.
La guía incluye además escenarios relacionados con modelos manipulados, deserialización insegura, adaptadores comprometidos y componentes maliciosos distribuidos a través de repositorios públicos.
Data and Model Poisoning incorpora nuevos escenarios
Data and Model Poisoning pasa de la cuarta a la quinta posición.
Una de las novedades expresamente señaladas por OWASP es la incorporación de la subversión durante el fine tuning, además de una cobertura más amplia de datasets, modelos, embeddings, RAG y otros artefactos.
La diferencia práctica es que el punto de ataque no tiene por qué estar en el dataset original. También puede encontrarse en las fases posteriores en las que ese material se utiliza para adaptar o actualizar un modelo. Por eso, la guía de 2026 da más importancia a poder reconstruir de dónde procede cada dataset y cada modelo y a detectar alteraciones de comportamiento después de procesos de entrenamiento o alineamiento.
Unbounded Consumption gana cuatro posiciones
Uno de los movimientos más llamativos es el de Unbounded Consumption, que pasa del décimo al sexto puesto.
La categoría ya había ampliado en 2025 el concepto de denegación de servicio para incluir el consumo descontrolado de recursos y los costes inesperados. En 2026, el tratamiento se hace más amplio y conecta también el consumo con determinados escenarios de extracción de modelos y con las características de los sistemas agénticos.
En una aplicación tradicional, una petición costosa puede consumir una cantidad excesiva de tokens o recursos. En una aplicación con agentes y herramientas, el problema puede multiplicarse: una única entrada puede desencadenar una cadena de llamadas, y una herramienta puede provocar nuevas ejecuciones de forma repetitiva. OWASP contempla expresamente escenarios de llamadas recursivas o infinitas y cadenas de operaciones que disparan el consumo.
Por eso, la guía propone establecer límites explícitos de consumo y mecanismos que detengan la ejecución cuando se detecten patrones anómalos. La cuestión no se reduce al coste económico de una petición. En determinados diseños, controlar cuánto puede ejecutar un agente antes de ser detenido forma parte de la propia frontera de seguridad.
Misinformation asciende y gana peso en la evaluación
Misinformation sube de la novena a la séptima posición. Su ascenso está relacionado con la discrepancia detectada entre la percepción de los profesionales y los incidentes analizados por OWASP.
La edición de 2026 desarrolla especialmente las medidas destinadas a determinar si una respuesta está respaldada por la información que el sistema tenía disponible. Las señales de groundedness, por ejemplo, buscan evaluar hasta qué punto una respuesta está sustentada en las fuentes recuperadas, algo especialmente relevante en aplicaciones RAG. Las comprobaciones de consistencia permiten detectar respuestas que presentan contradicciones respecto al contexto o a otras partes de la información disponible.
La guía también recomienda conservar la relación entre las afirmaciones generadas y las evidencias que las sustentan. Esto facilita investigar posteriormente por qué el sistema produjo una respuesta incorrecta y detectar si el problema estaba en la recuperación de información, en la generación de la respuesta o en otro punto del flujo.
Además, OWASP contempla situaciones en las que una respuesta incorrecta producida por un componente puede propagarse dentro de un flujo con varios agentes y terminar desencadenando una acción incorrecta.
System Prompt Leakage pasa a ser Hidden Context Exposure
El cambio de nombre entre ambas ediciones refleja una ampliación real del concepto.
En 2025, System Prompt Leakage se centraba en la exposición del system prompt y en el supuesto de que determinadas instrucciones internas podían mantenerse privadas. La edición de 2026 utiliza el término Hidden Context Exposure para abarcar también otras partes del contexto interno de la aplicación.
La nueva categoría incluye, entre otros elementos, reglas de autorización, instrucciones de usuario o desarrollador, información recuperada y detalles sobre las herramientas disponibles. La exposición de estos elementos puede revelar cómo está construida la aplicación y facilitar ataques posteriores.
Esto también cambia la forma de plantear la mitigación. Si una aplicación necesita mantener secreto un token, una credencial o una decisión de autorización para que su seguridad funcione, esa información no debería depender de que el modelo oculte correctamente un fragmento de contexto. OWASP recomienda mantener las credenciales y los controles de autorización fuera del modelo.
Vector and Embedding Weaknesses se vuelve más técnico
La categoría pasa de la octava a la novena posición, pero la guía de 2026 profundiza notablemente en los problemas asociados a los sistemas vectoriales.
Además de los riesgos ya asociados a RAG y a los embeddings, OWASP aborda cuestiones como la inversión de embeddings, la inferencia de pertenencia a un conjunto de datos, el envenenamiento durante la recuperación y las fugas entre diferentes usuarios o tenants.
Uno de los puntos especialmente relevantes es la autorización antes de la recuperación. Una búsqueda por similitud no tiene en cuenta por sí misma los permisos de acceso de los documentos. Por tanto, si el sistema recupera primero un fragmento confidencial y comprueba después si el usuario podía acceder a él, el contenido ya ha entrado en el contexto del modelo. El control llega demasiado tarde.
Improper Output Handling baja al último puesto, pero amplía su alcance
Improper Output Handling pasa de la quinta posición en 2025 a la décima en 2026. Sin embargo, el descenso en la clasificación no viene acompañado de una reducción del alcance de la categoría.
La nueva edición incorpora de forma explícita el código generado por asistentes y contempla escenarios en los que una salida del modelo llega sin validación a componentes capaces de interpretarla, como shell, exec, eval, SQL o sistemas de archivos. El problema aparece cuando una respuesta que originalmente era texto termina siendo tratada por otro componente como una instrucción ejecutable.
OWASP señala expresamente que el riesgo asociado al código inseguro generado por asistentes se incorpora dentro de esta categoría.
Por tanto, su posición en el ranking no debería interpretarse como una razón para reducir los controles sobre las salidas del modelo. El punto crítico sigue siendo qué ocurre después de generar la respuesta y qué componentes pueden interpretarla como código, una consulta o una instrucción.
Una frontera más clara con las aplicaciones agénticas
La edición de 2026 también establece con mayor claridad dónde termina el ámbito de este Top 10 y dónde empieza el del OWASP Top 10 for Agentic Applications 2026 [3].
La guía indica que su ámbito principal es el modelo utilizado como componente de una aplicación. Cuando el modelo pasa a actuar como un actor con herramientas, memoria persistente y capacidad para desencadenar consecuencias posteriores, recomienda complementar este análisis con el Top 10 específico de aplicaciones agénticas.
Esta distinción resulta especialmente útil porque varios de los riesgos de 2026 se encuentran precisamente en esa frontera. Prompt Injection, Excessive Agency, memoria, herramientas, control de acceso y propagación de errores están cada vez más interrelacionados. La guía amplía las categorías existentes para recoger estos escenarios y, al mismo tiempo, remite al marco específico de aplicaciones agénticas cuando el sistema adquiere ese nivel de autonomía.
Qué cambia realmente para una auditoría
La evolución entre 2025 y 2026 apunta a una ampliación clara de la superficie que debe revisarse durante una evaluación de seguridad.
La revisión ya no debería limitarse a comprobar si un modelo puede ser manipulado mediante determinados prompts. La guía de 2026 obliga a analizar cómo se separan las instrucciones de los datos, qué información puede entrar en el contexto, quién puede acceder a los contenidos recuperados, qué permisos tienen las herramientas, con qué identidad se ejecutan las acciones, qué ocurre con los datos utilizados para entrenar o adaptar modelos y qué información puede quedar expuesta en logs, embeddings u otros canales.
El cambio de fondo es que OWASP plantea una estrategia de seguridad menos dependiente de que el modelo se comporte siempre como se espera. La aplicación debe estar diseñada para limitar las consecuencias cuando el modelo sea manipulado o produzca una respuesta incorrecta.
Para quienes ya utilizaban la edición 2025 como referencia, la actualización no supone sustituir completamente el modelo de amenazas anterior. Muchas categorías siguen presentes. Lo que cambia es su profundidad, el alcance de los escenarios contemplados y, sobre todo, la importancia que adquieren los sistemas agénticos, la memoria, las herramientas, los artefactos de IA y las evidencias procedentes de incidentes reales.
En Kaptor Security ayudamos a las organizaciones a trasladar estos principios a sus entornos reales mediante auditorías integrales de seguridad de aplicaciones de inteligencia artificial, alineadas con OWASP y con otros frameworks y estándares de referencia de la industria. El objetivo es evaluar la seguridad de todo el sistema y no únicamente la interacción directa con el modelo.
Referencias
- OWASP. OWASP Top 10 for LLM Applications 2026. Disponible en: https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/
- OWASP. OWASP Top 10 for LLM Applications 2025. Disponible en: https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/
- OWASP. OWASP Top 10 for Agentic Applications 2026. Disponible en: https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/