Las notas de R4z0r
YoutubeLinkedInConóceme
  • Bienvenido a las notas de R4z0r
  • Web App Pentest
    • Directory traversal / Path Traversal
    • Local File Inclusion (LFI)
    • Remote File Inclusion (RFI)
    • Cross-Site Scripting (XSS)
    • Cross-Site Request Forgery (CSRF)
    • Server-Side Request Forgery (SSRF)
    • Unrestricted File Upload
    • SQL/NoSQL Injection
      • SQL Injection
      • NoSQL Injection
    • Broken Access Control (BAC)
    • Insecure Direct Object Reference (IDOR)
    • User Enumeration
    • Sensitive Cookies Missing security attributes
    • Weak Password Policy
    • Use of GET Request Method With sensitive Query Strings
    • Insufficient Protection Against Brute Forcing
    • Unverified Password Change
  • LLM Hacking
    • Prompt Injection
    • Sensitive Information Disclosure
    • Supply Chain Vulnerabilities
    • Training Data Poisoning
    • Insecure Output Handling
    • Excessive Agency
    • Model Denial of Service (DoS)
    • Insecure Plugin Design
    • Overreliance
    • Misinformation
    • System Prompt Leakage
  • External Pentest
  • Internal Pentest
  • Mobile Pentest
  • Cloud Pentest
  • API Pentest
  • PortSwigger Labs
    • LLM Attacks
Con tecnología de GitBook
En esta página
  • ¿Qué son los LLMs?
  • ¿Para qué se usan los LLMs?
  • Cómo aprende un LLM
  • Ciclo de vida de los LLMs
  • Desafíos y riesgos de los LLMs
  • Impacto de los LLMs en la sociedad
  • Laboratorios de PortSwigger
  • Referencias:

LLM Hacking

¿Qué son los LLMs?

Los Large Language Models (LLMs) son un tipo de inteligencia artificial diseñada para procesar y generar texto de manera similar a los humanos. Estos modelos utilizan redes neuronales profundas, particularmente arquitecturas transformer, para comprender y producir lenguaje con gran fluidez y coherencia.

Gracias a su entrenamiento en enormes volúmenes de datos, los LLMs pueden responder preguntas, redactar textos, traducir idiomas, generar código, resumir información y muchas otras tareas relacionadas con el lenguaje natural.

¿Para qué se usan los LLMs?

Los modelos de lenguaje a gran escala tienen aplicaciones en múltiples industrias, entre ellas:

  • Asistentes virtuales como ChatGPT, Google Gemini, Claude y Mistral.

  • Automatización de atención al cliente mediante chatbots inteligentes.

  • Generación y optimización de código en desarrollo de software.

  • Traducción automática de texto entre múltiples idiomas.

  • Creación de contenido para marketing, redes sociales y blogs.

  • Análisis de sentimientos en redes sociales y procesamiento de grandes volúmenes de texto en empresas.

  • Ciberseguridad y pentesting, ayudando a detectar vulnerabilidades en sistemas.

Cómo aprende un LLM

El aprendizaje de un LLM se basa en el análisis de datos masivos y la aplicación de técnicas avanzadas de aprendizaje automático.

Proceso de entrenamiento:

  • Los LLMs se entrenan utilizando conjuntos de datos extensos, incluyendo libros, artículos, sitios web y bases de datos especializadas.

  • Durante este proceso, el modelo detecta patrones en el lenguaje, estructura gramatical y conocimientos generales sobre el mundo.

Técnicas de aprendizaje automático:

  • Se aplican algoritmos avanzados y modelos estadísticos para mejorar la precisión y relevancia de las respuestas.

  • Las redes neuronales transformer permiten procesar el contexto de una oración completa en lugar de analizar palabra por palabra de forma aislada.

  • Durante el entrenamiento, el modelo ajusta millones o incluso billones de parámetros, lo que le permite optimizar su capacidad de generar texto coherente y preciso.

Ciclo de vida de los LLMs

Desde su creación hasta su mantenimiento, los LLMs atraviesan varias fases:

  1. Definición del problema: Se establecen los objetivos y aplicaciones del modelo.

  2. Recopilación y procesamiento de datos: Se seleccionan y filtran los datos utilizados para el entrenamiento.

  3. Diseño y configuración del modelo: Se elige la arquitectura más adecuada (GPT, LLaMA, Mistral, entre otros).

  4. Entrenamiento y ajuste fino: Se aplican algoritmos de aprendizaje automático para mejorar el rendimiento del modelo.

  5. Evaluación y pruebas: Se verifica la calidad de las respuestas, detectando sesgos o errores.

  6. Implementación y monitoreo: Se despliega en un entorno de producción y se supervisa su funcionamiento.

  7. Mantenimiento y actualización: Se realizan mejoras constantes para optimizar la precisión y seguridad del modelo.

Desafíos y riesgos de los LLMs

A pesar de sus múltiples ventajas, los LLMs presentan desafíos importantes:

  • Sesgos y desinformación: Pueden reflejar prejuicios presentes en los datos con los que fueron entrenados.

  • Seguridad y ataques: Son susceptibles a amenazas como Prompt Injection, Jailbreaking y Data Poisoning, etc.

  • Uso indebido: Pueden ser explotados para generar fake news, deepfakes o realizar ciberataques automatizados.

  • Privacidad y regulación: Existe preocupación sobre la protección de datos y la falta de normativas claras.

  • Altos costos computacionales: Requieren gran cantidad de recursos computacionales y energía para su entrenamiento y ejecución (hasta que apareció Deepseek).

Impacto de los LLMs en la sociedad

Los modelos de lenguaje a gran escala están revolucionando diversos sectores:

  • Salud: Facilitan el análisis de datos médicos y la generación de informes clínicos.

  • Educación: Personalizan la enseñanza a través de asistentes virtuales y generación de contenido educativo.

  • Legal y financiero: Optimizan el análisis de documentos y contratos, reduciendo el tiempo de trabajo manual.

  • Ciberseguridad: Se utilizan para detectar amenazas, prevenir fraudes y fortalecer la seguridad en línea.

Laboratorios de PortSwigger

Referencias:

AnteriorUnverified Password ChangeSiguientePrompt Injection

Última actualización hace 3 meses

Toda la teoría que está en la sección de LLM Hackingestá basado en el OWASP Top 10 2023-2024-2025. Para entrar más a detalle visitar: .

LLM Attacks
https://genaisecurityproject.com/resource/owasp-top-10-for-llm-applications-2025/
https://github.com/OWASP/Top10-for-LLMs
https://genai.owasp.org/llm-top-10/
https://atlas.mitre.org/matrices/ATLAS
https://github.com/cckuailong/awesome-gpt-security
https://github.com/jerryjliu/llama_index_security_threat_model
https://github.com/greshake/llm-attacks
https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Prompt%20Injection
https://github.com/jthack/PIPE
https://github.com/NetsecExplained/chatgpt-your-red-team-ally
https://github.com/DummyKitty/Cyber-Security-chatGPT-prompt
https://www.udemy.com/course/the-ultimate-ai-llm-penetration-testing-training-course/