Guardarraíles para apps y agentes de IA: qué detectan, cuánto cuestan y qué importa más

En cuanto tu chatbot o tu agente está frente a clientes, cualquier desconocido puede escribirle lo que quiera, y cada página web, correo o documento que lee puede traer instrucciones propias. Los guardarraíles son los controles que rodean al modelo y filtran ese tráfico. Vale la pena tenerlos y pueden ser baratos, pero ninguno salvará a un agente al que se le ha dado más poder del que su trabajo necesita.

Este artículo trata de funciones y agentes de IA que entregas a usuarios. Si lo que te preocupa es un agente de programación en el equipo de un desarrollador, nuestra guía para proteger agentes de programación cubre sandboxes, guardianes de comandos y puertas en CI para ese caso. Cada cifra procede de nuestras reseñas o de los documentos de proveedores e investigación que citan; no hemos ejecutado estas herramientas nosotros.

Qué detecta de verdad un guardarraíl

Cuatro problemas explican la mayor parte de lo que venden estos productos. El OWASP Top 10 for LLM Applications es una lista de control útil, y los guardarraíles atacan más directamente tres de sus entradas: inyección de prompts (LLM01), revelación de información sensible (LLM02) y agencia excesiva (LLM06).

• Inyección de prompts. Texto que intenta sustituir tus instrucciones por las de otra persona. La directa viene del usuario. La indirecta se esconde en una página recuperada, un correo o el resultado de una herramienta, y es la que daña a los agentes, porque el modelo la lee como parte de su trabajo.
• Jailbreaks. Intentos de convencer al modelo de que abandone sus reglas de seguridad, a menudo repartidos en varios turnos de conversación.
• Salida insegura. Respuestas dañinas o contrarias a tu política, y respuestas que afirman cosas que los documentos recuperados no respaldan.
• Fuga de datos. Datos personales, secretos o tu prompt de sistema que salen en una respuesta, o un enlace en una respuesta que apunta adonde no debe.

Ningún producto cubre los cuatro igual de bien. Un detector de inyecciones marca el texto que parece una instrucción, no el daño: la ficha de Meta de Llama Prompt Guard 2 advierte que una documentación que cite "ignore previous instructions" lo hará saltar. Un modelo de moderación que puntúa la violencia no notará una instrucción educada escondida en el PDF de un proveedor. Asigna cada control a un riesgo antes de comprar nada.

Tres tipos de guardarraíl

Modelos de seguridad que alojas tú

Son modelos de pesos abiertos que ejecutas junto al tuyo. El texto nunca sale de tus máquinas y no hay tarifa por control; a cambio, la GPU, las actualizaciones y el ajuste son cosa tuya.

• Llama Prompt Guard 2 (4.2) es el filtro barato de inyecciones. Su modelo de 86M detecta el 97.5% de los ataques del conjunto privado de jailbreaks de Meta con una tasa de falsos positivos del 1%. En AgentDojo, un benchmark en el que los atacantes plantan instrucciones en las herramientas de un agente, detiene el 81.2% con un coste del 3% en tareas completadas. Lee 512 tokens cada vez, así que las páginas largas deben dividirse en fragmentos, y la descarga está restringida por la Llama 4 Community License.
• Qwen3Guard (4.3) es el modelo de moderación multilingüe: 119 idiomas y dialectos, tamaños de 0.6B a 8B, Apache 2.0. Etiqueta el texto como seguro, controvertido o inseguro, de modo que una app infantil y una web de ficción para adultos pueden compartir un modelo y diferir solo en qué significa "controversial". Una variante Stream revisa la respuesta token a token mientras se escribe.
• Granite Guardian 4.1 (4.0) es el juez de 8B de IBM. Además del daño, comprueba si una respuesta se apoya en el texto recuperado y si la llamada a función de un agente encaja con las herramientas que se le dieron. Solo funciona en inglés, e IBM lo plantea para monitorización y controles puntuales, no para cada mensaje.
• gpt-oss-safeguard (4.0) toma una política que escribes en lenguaje llano y devuelve una decisión con su razonamiento, así que un equipo de confianza y seguridad puede cambiar una regla sin etiquetar nuevos datos de entrenamiento. Es más lento y pesado que un clasificador, el 20b necesita una GPU de 16 GB, y OpenAI advierte que el razonamiento visible puede ser inventado.

API de guardarraíles en la nube

Un servicio alojado ejecuta y actualiza los detectores. Envías cada prompt y cada respuesta por la red y recibes un veredicto, a cambio de un nuevo encargado del tratamiento de datos y un salto de red, pero sin ejecutar modelos tú.

• Google Model Armor (4.2) filtra inyecciones, contenido dañino, datos sensibles y enlaces dudosos a $0.10 por millón de tokens, con los primeros 2 millones de cada mes gratis. Funciona con modelos fuera de Google Cloud. Juzga cada petición por separado, sin memoria de la conversación, y no decodifica Base64.
• Azure AI Content Safety (4.1) puntúa el daño en texto e imágenes, y sus Prompt Shields revisan tanto los prompts del usuario como los documentos en busca de órdenes inyectadas. El nivel estándar cuesta $0.375 por cada 1,000 registros de texto de hasta 1,000 caracteres. Microsoft dice que las entradas no se almacenan ni se usan para entrenar; Prompt Shields está entrenado sobre todo en inglés.
• Lakera Guard (4.0), que ahora vende Check Point, acepta un chat completo al estilo de OpenAI, llamadas a herramientas incluidas, y filtra el último intercambio. El nivel gratuito cubre 10,000 peticiones al mes; por encima no hay precio publicado.

Frameworks de guardarraíles

Un framework no es un detector. Es la fontanería que ejecuta controles en cada punto de tu app y decide qué hacer con el resultado; tú le conectas modelos o API.

• NVIDIA NeMo Guardrails (4.0) tiene raíles separados para entrada, salida, recuperación y ejecución de herramientas, y admite Llama Guard, los modelos NemoGuard de NVIDIA, Presidio y detectores comerciales. Exige configuración real en YAML y en su propio lenguaje, Colang, su versión 0.24.0 incluyó seis cambios incompatibles y la telemetría anónima hacia NVIDIA está activada por defecto.
• LlamaFirewall (3.8) es el diseño por capas de Meta: Prompt Guard 2 sobre las entradas y la salida de herramientas, AlignmentCheck leyendo el razonamiento del agente en busca de señales de secuestro, y CodeShield analizando el código generado. Su artículo es la mejor prueba pública de que las capas funcionan; el paquete no ha tenido versión nueva desde mayo de 2025.
• Guardrails AI (3.2) es la advertencia. Su Hub alojado cerró el 25 de agosto de 2026, el equipo se unió a Harvey, no se ha fusionado nada desde entonces y una versión maliciosa 0.10.1 llegó a PyPI en mayo. Sus validadores sin conexión para regex, esquemas y longitud siguen funcionando; para proyectos nuevos hay mejores opciones.

Cuánto aportan las capas

Las cifras más claras vienen del artículo de LlamaFirewall de Meta, medidas en AgentDojo. Sin guardarraíl, el 17.6% de los ataques tuvo éxito. Prompt Guard 2 solo lo redujo al 7.5%. AlignmentCheck, que pregunta a un modelo grande si el agente sigue haciendo lo que pidió el usuario, lo bajó al 2.89%. Los dos juntos llegaron al 1.75%, mientras la proporción de tareas completadas por el agente caía del 47.7% al 42.7%.

De ahí salen dos lecciones. Un filtro rápido y un control de razonamiento más lento fallan ante ataques distintos, así que se suman. Y la protección cuesta utilidad además de dinero: según nuestras cuentas, aproximadamente una de cada diez tareas que antes salían bien dejó de hacerlo.

Latencia y coste en la ruta de cada petición

Cada control que pones antes de la respuesta añade tiempo, y un agente puede ejecutar varios por turno: el mensaje del usuario, cada documento recuperado, cada resultado de herramienta y la respuesta final. Cuenta los controles por turno, no por conversación.

Control	Latencia publicada	Coste
Prompt Guard 2, 22M	19.3 ms por 512 tokens en una A100	Tu GPU
Prompt Guard 2, 86M	92.4 ms por 512 tokens en una A100	Tu GPU
Primera pasada de CodeShield	Unos 60 ms	Tu CPU o GPU
AlignmentCheck	Unos 860 a 1,490 ms por paso en la traza del artículo	Una llamada a un modelo grande por paso auditado
Lakera Guard	Menos de 50 ms (según el proveedor)	Gratis hasta 10,000 peticiones al mes; después, presupuesto
Google Model Armor	No figura en nuestras fuentes	$0.10 por millón de tokens
Azure AI Content Safety	No figura en nuestras fuentes	$0.375 por cada 1,000 registros de texto

A esos precios, filtrar un millón de mensajes cortos de chat cuesta unos pocos dólares en Model Armor y $375 en Azure. Mil millones de tokens al mes en Model Armor salen por unos $100, o nada dentro de los 3 mil millones incluidos en una suscripción Enterprise o Premium de Security Command Center. Lakera cuenta cada elemento filtrado como una petición, así que un agente que revisa el prompt, dos documentos y la respuesta gasta cuatro por turno y agota el nivel gratuito en 2,500 turnos.

Alojarlo tú traslada la factura al hardware. Los modelos abiertos no tienen tarifa, pero alguien paga las GPU, y NVIDIA AI Enterprise, que cubre el microservicio de NeMo Guardrails, tiene un precio de lista de $4,500 por GPU al año.

Tres hábitos mantienen bajo el retraso. Pasa el clasificador barato por todo y envía solo los pasos arriesgados a los jueces lentos; OpenAI describe el mismo patrón para gpt-oss-safeguard, con clasificadores rápidos primero y una parte del tráfico enviada al modelo de razonamiento. Ejecuta en paralelo los controles independientes, que es lo que hace el motor IORails de NeMo con los controles NemoGuard. Y en las respuestas en streaming, revisa el texto según llega: la variante Stream de Qwen3Guard puntúa cada token, y Lakera pide fragmentos de al menos 10 tokens.

Los falsos positivos son el verdadero trabajo de ajuste

Cada detector intercambia ataques no detectados por clientes bloqueados, y las cifras de precisión de los proveedores salen de sus propios conjuntos de prueba. Lakera entrega todos los detectores en L4, su nivel más estricto, y califica su política por defecto de "intentionally strict". Meta dice que la precisión de Prompt Guard 2 depende de cómo sea el tráfico normal de tu aplicación y recomienda ajustarlo con tus propios datos.

Antes de bloquear nada, pasa por el guardarraíl unos cientos de peticiones reales e inofensivas y un conjunto de ataques conocidos, y anota la tasa de bloqueo y la de fallos en cada umbral. Después sal a producción en modo solo registro, que Lakera llama modo Detect, y lee lo que marca durante una o dos semanas. Decide de antemano qué ve el usuario cuando hay un bloqueo: una negativa clara con una forma de hablar con una persona es mejor que un fallo silencioso. La etiqueta controvertido de Qwen3Guard te da una tercera opción entre permitir y bloquear: enviar el caso a una cola de revisión.

Dónde encajan el red teaming y el análisis de la cadena de suministro

Los guardarraíles actúan sobre el tráfico real. El red teaming ataca tu app antes que los usuarios y te dice si los guardarraíles funcionan; el análisis de la cadena de suministro revisa el código y las herramientas en los que confía tu app. Necesitas los tres, en momentos distintos.

• Al elegir un modelo. CyberSecEval (3.9) mide con qué frecuencia un modelo sin más escribe código vulnerable u obedece texto inyectado. No ve tus prompts, herramientas ni recuperación, así que su sitio está junto a la ficha del modelo, no en lugar de probar la app.
• Antes del lanzamiento y tras cada cambio. garak (4.3) lanza una biblioteca de ataques publicados contra un endpoint; apúntalo a la app desplegada con sus guardarraíles delante, porque el prompt de sistema y los filtros cambian el resultado. promptfoo (4.5) pone las pruebas de red team en un archivo YAML que se ejecuta en CI. DeepTeam (3.9) cubre riesgos de agentes como saltarse la autorización o descripciones de herramientas envenenadas.
• Atacantes pacientes. PyRIT (4.2) ejecuta ataques de varios turnos como Crescendo, en los que un modelo atacante escala poco a poco. Es justo el caso que un filtro que juzga una petición cada vez está hecho para no ver.

Lo que encuentre el red team debe volver a los umbrales del guardarraíl y, más a menudo, a los permisos de las herramientas.

Los propios guardarraíles forman parte de tu cadena de suministro. La versión maliciosa 0.10.1 de Guardrails AI es un ejemplo; en marzo de 2026 unos atacantes también publicaron dos versiones envenenadas de LiteLLM en PyPI con credenciales robadas de un mantenedor. Fija versiones y hashes exactos para bibliotecas de guardarraíles, gateways y SDK, y analízalos con el resto de tu código: Semgrep (4.3) como control obligatorio en los pull requests, y Snyk (4.0) para dependencias y contenedores, cuyo plan gratuito se queda en 100 pruebas de Snyk Code al mes. Para los servidores MCP y skills que carga tu agente, Snyk Agent Scan (3.8) busca instrucciones ocultas en las descripciones de las herramientas, y para ello envía esas descripciones a Snyk.

El mínimo privilegio importa más que cualquier filtro

El mejor resultado por capas de arriba aún dejó pasar el 1.75% de los ataques, en un benchmark cuyos ataques se conocían de antemano, y Meta advierte que los atacantes se adaptan a los clasificadores. Planifica para la inyección que supera todos los filtros y pregúntate qué puede hacer después. La respuesta la fijan las herramientas que le diste al agente, no el guardarraíl.

• Actúa como el usuario, no como una cuenta de servicio. Cuando una llamada a herramienta lleva la identidad del usuario conectado, una instrucción inyectada no puede obtener datos que ese usuario no podría ver. Comprueba la autorización en tu código, nunca en el prompt.
• Da a cada herramienta la credencial más estrecha. Un agente que responde preguntas sobre pedidos necesita una vista de solo lectura de los pedidos de un cliente, no la base de datos.
• Pon a una persona delante de lo que no se puede deshacer. Pagos, borrados y mensajes a direcciones externas deben esperar una confirmación que el modelo no puede darse a sí mismo.
• Limita adónde pueden ir los datos. Un agente que puede abrir cualquier URL puede enviar tus datos a cualquier URL.
• Aísla las herramientas. ToolHive (4.1) ejecuta cada servidor MCP en su propio contenedor sin ninguna de tus credenciales locales, añade una política de acceso basada en identidad por petición y guarda registros de auditoría. Su reseña deja claro que el aislamiento no impide que un servidor abuse del acceso que le concedes a propósito. Cuando un agente ejecuta código, OpenSandbox (4.1) le da un sandbox desechable mediante una API, pero es un contenedor normal salvo que configures gVisor, Kata o Firecracker, y funciona sin autenticación si no se define una clave de API.
• Registra cada llamada a herramienta con el usuario, la entrada y el resultado, para poder reconstruir un incidente.

Una configuración inicial para un equipo pequeño

Imagina a cinco personas que lanzan un chatbot de soporte o un agente pequeño en una sola nube, sin nadie cuyo cargo diga seguridad.

1. Primero, los permisos. Haz una lista de todas las herramientas, da a cada una la credencial más estrecha y añade un paso de confirmación antes de todo lo que envíe, pague o borre. Cuesta una tarde y hace más que cualquier producto de esta lista.
2. Un filtro alojado sobre la entrada del usuario, los documentos recuperados y las respuestas: Model Armor si estás en Google Cloud o en ninguna nube en particular, Azure AI Content Safety si ya trabajas en Azure. El nivel gratuito de Lakera sirve para un prototipo. Si ya tienes GPU, Prompt Guard 2 22M sobre la salida de herramientas es casi gratis, y Qwen3Guard 0.6B es el modelo de moderación multilingüe más barato de servir.
3. Solo registro durante dos semanas, y después activa el bloqueo con umbrales que hayas comprobado contra tu propio tráfico.
4. Un archivo de red team en CI. Una configuración de promptfoo que se ejecute con cada cambio de prompt o de modelo, y un análisis acotado de garak tras cambiar de modelo.
5. Dependencias fijadas y Semgrep como control obligatorio en los pull requests.

El software de esta lista es gratis o casi. Las facturas son el filtrado por petición y los tokens de modelo que consumen las pruebas de red team.

Una configuración inicial para una empresa regulada

Un banco, una aseguradora o un proveedor sanitario tiene los mismos riesgos más auditores, normas de residencia de datos y una revisión de proveedores para cada nuevo encargado del tratamiento.

1. Herramientas ligadas a la identidad. Los agentes actúan con la identidad del usuario. Los servidores MCP funcionan detrás de ToolHive para tener política por petición, aislamiento y registros de auditoría, y el código generado se ejecuta en OpenSandbox con un runtime seguro y una clave de API configurados.
2. Un único punto de control. NeMo Guardrails con raíles en entrada, recuperación, ejecución de herramientas y salida, una versión fijada, la telemetría desactivada con DO_NOT_TRACK=1 y require_iorails=True, para que las configuraciones que el motor rápido no puede ejecutar fallen de forma visible en lugar de volver en silencio al motor antiguo.
3. Detectores que cumplen tus normas de datos. Prompt Guard 2 alojado por ti sobre cada entrada y cada resultado de herramienta; Qwen3Guard para moderación multilingüe, o Granite Guardian si te basta el inglés y quieres controles de fundamentación y de llamadas a función bajo Apache 2.0. Si se permite una API en la nube, elige la que ya esté aprobada: Azure mantiene el procesamiento en la región que eliges para la mayoría de controles y admite claves gestionadas por el cliente, y Google dice que Model Armor descarta el contenido tras cada control salvo que el registro esté activado. Lakera ofrece alojamiento propio aislado de la red en Enterprise. Ten en cuenta que varias funciones en versión preliminar de Azure, entre ellas la detección de fundamentación, se retiran el 30 de abril de 2027.
4. Jueces lentos donde compensan. gpt-oss-safeguard para decisiones de política y recursos que necesitan una justificación escrita, y una auditoría al estilo de AlignmentCheck en los pasos de mayor riesgo del agente, con un modelo grande con el que ya tengas contrato.
5. Pruebas documentadas. CyberSecEval al elegir modelo, los presets OWASP de DeepTeam para mostrar a un auditor qué se probó, y PyRIT en manos de un especialista en red team para los ataques de varios turnos. Repite tras cada cambio de modelo, prompt, guardarraíl o herramienta, y guarda las transcripciones.
6. Cadena de suministro y propiedad. Hashes fijados, Semgrep y Snyk en CI, y Snyk Agent Scan sobre los nuevos servidores MCP una vez que tu delegado de protección de datos haya aprobado enviar descripciones de herramientas a Snyk. Este mercado cambia de manos deprisa: Lakera pertenece ahora a Check Point, promptfoo a OpenAI, y el servicio alojado de Guardrails AI ya no existe. Mantén cada guardarraíl detrás de tu propia interfaz para poder cambiarlo.

La pega: la mayoría de los guardarraíles ven el texto pieza a pieza, y los atacantes lo saben. Model Armor no tiene memoria de la conversación, no decodifica Base64 y omite las entradas demasiado grandes en vez de marcarlas. Prompt Guard 2 lee 512 tokens, así que un ataque repartido entre fragmentos puede colarse. Los Prompt Shields de Azure se detienen en 10,000 caracteres para el prompt y 10,000 entre un máximo de cinco documentos. Fuera del inglés, la mayoría pierde terreno. Juzga un filtro por lo que cuesta y por la frecuencia con que se equivoca, nunca por si es completo.

Nuestra opinión: los guardarraíles son el portero y los permisos son las cerraduras de las habitaciones. Un portero rechaza la mayoría de los problemas y, de vez en cuando, a un cliente habitual, mientras que las cerraduras deciden cuánto daño puede hacer el que se cuela. Pon primero las cerraduras, contrata al portero más barato que hable los idiomas de tus clientes y envía los jueces caros solo a las puertas que importan.