Paso 18 de 22
Guardrails
Filtra entradas y salidas en busca de inyecciones, fugas e incumplimientos de políticas. Los agentes leen texto no fiable y realizan acciones reales. Una comprobación barata delante de cada paso detecta lo que se le escapa al modelo principal.
Por Sheela · Comprobado el 23 oct 2026 · Cómo hacemos las reseñas
Cómo elegir
- Inyección de prompts en contenido descargado: fíltrala antes de que entre en el contexto.
- Normas de política y de temas: un framework de guardrails que combine reglas y modelo.
- Aprobar llamadas arriesgadas a herramientas: un modelo de decisión rápido o una persona en el circuito.
Qué tener en cuenta
Las preguntas que distinguen las opciones, por orden de importancia.
01
Qué riesgos detecta de verdad
Relaciona cada opción con los riesgos que afrontas: inyección de prompts y jailbreaks, fugas de datos personales y del prompt de sistema, contenido tóxico o fuera de política, peticiones fuera de tema y uso peligroso de herramientas. El OWASP Top 10 for LLM Applications es una lista de comprobación útil; LLM01 (inyección de prompts), LLM02 (revelación de información sensible) y LLM06 (exceso de autonomía) son los que los guardrails abordan más directamente. Una herramienta que solo puntúa la toxicidad no detendrá una inyección escondida en una página web recuperada.
02
En qué punto del circuito puede comprobar
Las comprobaciones de entrada filtran lo que envía el usuario; las de salida filtran la respuesta; con agentes también necesitas comprobar los documentos recuperados, las entradas de las herramientas y sus resultados. NeMo Guardrails tiene rails separados para entrada, salida, recuperación y ejecución de herramientas, y Lakera Guard acepta cualquiera de ellos como peticiones separadas. La inyección indirecta llega a través de la recuperación y de la salida de las herramientas, así que un filtro que solo ve el mensaje del usuario se pierde el ataque más común contra agentes.
03
Falsos positivos, medidos con tu propio tráfico
Todo detector equilibra lo que se le escapa con las peticiones bloqueadas por error, y las cifras de precisión de los proveedores se miden con sus propios conjuntos de prueba. Lakera documenta cuatro niveles de rigor y usa por defecto el más estricto; la ficha de Prompt Guard 2 de Meta advierte de que la precisión cae con prompts específicos de cada aplicación. Antes de ponerlo en marcha, pasa por el filtro unos cientos de peticiones reales e inofensivas y un conjunto de ataques conocidos, y anota la tasa de bloqueo y la de fallos con cada umbral.
04
Latencia y coste por comprobación
Cada comprobación basada en un modelo añade un viaje de ida y vuelta antes de que el usuario vea la respuesta, y un agente puede ejecutar varias por turno. Los clasificadores pequeños son rápidos: Laya declara milisegundos de una cifra en una GPU y GLiNER2.5-Decide unos cientos de milisegundos en una CPU, mientras que pedir al LLM principal que se compruebe a sí mismo puede añadir segundos. Las APIs alojadas añaden tiempo de red y suelen facturarse por petición, así que cuenta las peticiones por turno del agente, no por conversación.
05
Alojamiento propio o API
Los filtros ven cada prompt y cada respuesta, así que manejan tus datos más sensibles. Los frameworks abiertos y los modelos de pesos abiertos (NeMo Guardrails, Guardrails AI, GLiNER2.5-Decide, Laya) funcionan dentro de tu infraestructura. Los servicios alojados como Jev o Lakera Guard son más rápidos de adoptar, pero añaden un encargado del tratamiento de datos; la opción de alojamiento propio de Lakera requiere una licencia Enterprise.
06
Cómo defines la política
Algunas opciones traen detectores fijos (inyección, datos personales, moderación); otras te dejan definir tus propias etiquetas o preguntas de sí o no en cada petición, lo que encaja con reglas de negocio como '¿es una petición de reembolso por encima del límite?'. Los modelos de decisión como Jev y Laya son flexibles, pero tienes que escribir y probar las preguntas. Frameworks como NeMo Guardrails añaden lógica de flujo en Colang, que es potente pero es otro lenguaje que aprender.
07
Mantenimiento y propiedad
Esta categoría se está concentrando deprisa. Guardrails AI cerró su Hub alojado en agosto de 2026 y fue comprada por Harvey; LLM Guard de Protect AI se archivó en julio de 2026; Lakera pertenece ahora a Check Point. Revisa la fecha de la última versión y los incentivos del propietario, y mantén el filtro detrás de tu propia interfaz para poder cambiarlo.
En qué se diferencian las opciones
Los guardrails se presentan en tres familias. Los frameworks (NeMo Guardrails, Guardrails AI) envuelven tus llamadas al LLM en un pipeline de comprobaciones y te dejan conectar detectores, desde expresiones regulares y herramientas de datos personales hasta clasificadores de seguridad como Llama Guard; son los que más terreno cubren, pero necesitan configuración. Las APIs de filtrado alojadas (Lakera Guard) te dan detectores mantenidos detrás de un único endpoint, con rigor ajustable y sin modelos que ejecutar, a cambio de enviar texto a un proveedor. Los modelos pequeños de clasificación y decisión (GLiNER2.5-Decide, Laya, Jev) responden a una pregunta que defines tú, como '¿es un intento de inyección?' o '¿debe aprobarse esta llamada a una herramienta?', con una probabilidad a la que puedes aplicar un umbral.
En la práctica, los equipos los combinan: un clasificador rápido o una API en cada entrada y cada documento recuperado, un framework o un modelo de decisión para las reglas de negocio y la aprobación de herramientas, y permisos mínimos para las herramientas por debajo, porque ningún filtro detecta todos los ataques adaptativos.
7 herramientas comparadas
Ordenadas por nuestra nota. Abre cualquier reseña para ver las fuentes, los precios y el veredicto completo.
| Herramienta | Nota | Nuestro veredicto | Ideal para | Precio |
|---|---|---|---|---|
| NVIDIA NeMo Guardrailsrepo | 4.0/5 | NeMo Guardrails es la capa de políticas abierta más amplia para agentes, y esa amplitud se paga en configuración, latencia y un changelog lleno de cambios incompatibles. | Equipos que construyen agentes o asistentes de cara al cliente y necesitan una capa de políticas configurable alrededor de cada llamada al modelo y a las herramientas. | Gratuito y de código abierto bajo Apache 2.0. Los modelos NemoGuard y los microservicios NIM de NVIDIA se distribuyen por separado. |
| Lakera Guard (Check Point AI Guardrails)herramienta | 4.0/5 | Lakera Guard es un filtro contra la inyección de prompts bien documentado que se añade con una sola llamada a la API, pero a partir de 10.000 solicitudes al mes estás negociando con el equipo comercial empresarial de Check Point. | Equipos que quieren un filtro gestionado contra la inyección de prompts y las fugas de datos delante de chatbots y agentes, sin operar sus propios clasificadores. | Community gratuito: 10.000 solicitudes/mes, prompts de 8k tokens, solo SaaS. Enterprise bajo presupuesto: volumen flexible, SaaS o autoalojado, SSO, RBAC, integración con SIEM. No hay precio publicado más allá del plan gratuito. |
| Jevmodelo | 3.8/5 | Jev convirtió las decisiones tipadas en un producto, y desde entonces los modelos abiertos lo han superado en puntuación y en precio. | Equipos que quieren una API alojada y barata para enrutar texto, hacer triaje y filtros de sí/no sin operar sus propias GPU. | $0,042 por 1M de tokens de entrada ($42 por cada mil millones); los tokens de salida son gratis. Mismo precio con contexto largo. Límites Enterprise a través de ventas. |
| Splunk Agent Observabilityherramienta | 3.7/5 | Los pequeños modelos juez de Galileo abaratan puntuar cada conversación de un agente, pero con Splunk se ha convertido en una compra empresarial con una llamada de ventas por delante. | Grandes organizaciones que ya usan Splunk Observability y quieren puntuar cada conversación de sus agentes y bloquear acciones inseguras en tiempo de ejecución. | Agent Observability desde 100 $/mes por 1,2M spans al año, con facturación anual, con 500M tokens de Luna y 5 ajustes finos de Luna al año; tokens de Luna adicionales y retención ampliada bajo presupuesto. Splunk Observability Cloud Free Edition (hasta 15 hosts, sin caducidad) incluye trazas de agentes. Los antiguos planes Free (5.000 trazas al mes) y Pro (100 $/mes con pago anual, 50.000 trazas) de Galileo ya no se publican. |
| GLiNER2.5-Decidemodelo | 3.6/5 | GLiNER2.5-Decide es un clasificador de etiquetas rápido y honesto que rinde bien en las tareas de Fastino y queda muy atrás en las de todos los demás. | Ingenieros que necesitan enrutado de intenciones, moderación o decisiones de spam baratos y solo con CPU, y pueden hacer fine-tuning con sus propias etiquetas. | Pesos y librería gratuitos bajo Apache 2.0. El agente de fine-tuning alojado de Fastino es un producto aparte. |
| Layamodelo | 3.4/5 | Muy rápido y realmente abierto, pero de entrada casi adivina en las decisiones difíciles: una base que ajustar, no un sustituto de Jev. | Equipos con sus propios datos de decisiones etiquetados que quieren un modelo diminuto y autoalojado que ajustar para enrutado rápido o salvaguardas. | Pesos y paquete de Python gratuitos bajo Apache 2.0. Sin API alojada de pago; lo ejecutas tú. |
| Guardrails AIrepo | 3.2/5 | Una buena idea que se ha quedado sin dueño: el código Apache 2.0 sigue funcionando, pero nadie integra correcciones y las piezas alojadas han desaparecido. | Usuarios actuales con validadores deterministas que pueden fijar versiones y parchearla ellos mismos. | Gratuito y de código abierto bajo Apache 2.0. El registro alojado del Hub y la inferencia remota gratuita cerraron el 25 de agosto de 2026. |
Lado a lado
Las especificaciones que importan en este paso. Comprobado el 23 oct 2026; confírmalo en la web del proveedor antes de decidirte.
| Herramienta | Tipo | Qué comprueba | Despliegue | Latencia publicada | Licencia |
|---|---|---|---|---|---|
| NVIDIA NeMo Guardrails | Framework de rails (YAML + Colang) | Entrada, salida, recuperación, herramientas, diálogo | Alojamiento propio: biblioteca, servidor o NIM | Depende de los rails usados | Apache 2.0 |
| Lakera Guard (Check Point AI Guardrails) | API de filtrado alojada | Inyección, datos personales, moderación, enlaces, herramientas | SaaS; alojamiento propio en Enterprise | Menos de 50 ms (según el proveedor) | Propietaria |
| Jev | Modelo de decisión alojado | Sí/no, elección o puntuación que defines tú | Solo API | Mediana de 267–316 ms | Propietaria |
| GLiNER2.5-Decide | Clasificador zero-shot (menos de 0.5B) | Etiquetas que defines en cada petición | Alojamiento propio, CPU o GPU | 294 ms en una CPU de escritorio | Apache 2.0 |
| Laya | Modelo de decisión abierto (421M) | Sí/no, elección o puntuación que defines tú | Alojamiento propio, CPU o GPU | Mediana de 5,8 ms | Apache 2.0 |
| Guardrails AI | Biblioteca de validadores | Datos personales, toxicidad, estructura, personalizados | Solo alojamiento propio (Hub cerrado) | No publicado | Apache 2.0 |
Conéctalo a tu agente
Servidores MCP que permiten a asistentes como Claude, ChatGPT y Cursor usar estas herramientas directamente.
Dónde encaja esta etapa
- Chatea con tus documentos: empezaríamos con NVIDIA NeMo Guardrails.
- Agente de atención al cliente: empezaríamos con NVIDIA NeMo Guardrails.
- Agente de programación: empezaríamos con Jev MCP.
- Asistente con memoria a largo plazo: empezaríamos con NVIDIA NeMo Guardrails.
- Pipeline de generación de imágenes: empezaríamos con GLiNER2.5-Decide.
- Producción de vídeo: empezaríamos con GLiNER2.5-Decide.
- Agente de voz: empezaríamos con NVIDIA NeMo Guardrails.
- IA privada y local: empezaríamos con Laya MCP Server.
- Procesamiento de documentos: empezaríamos con NVIDIA NeMo Guardrails.
- Tu propio modelo con fine-tuning: empezaríamos con NVIDIA NeMo Guardrails.
- Automatización de flujos de trabajo: empezaríamos con Jev MCP.