)
Última actualización: 28 de octubre, 2026
¿Qué es el OWASP Top 10 for LLM applications 2026 y qué cambió? Es la lista ordenada que publica el OWASP GenAI Security Project con los diez riesgos de seguridad más graves en aplicaciones basadas en modelos de lenguaje, publicada en agosto de 2026. Prompt Injection sigue en primer lugar, Excessive Agency sube al tercero y System Prompt Leakage pasa a llamarse Hidden Context Exposure.
TL;DR: Puntos clave
- La lista se publicó en agosto de 2026. El OWASP GenAI Security Project afirma que superó las 10.000 descargas en sus primeras 48 horas.
- No se eliminó nada. Cambiaron ocho de las diez posiciones respecto a 2025 y los riesgos nuevos se integraron en entradas existentes, como describen la guía 2026 de OWASP y la Cloud Security Alliance (21 de octubre de 2026).
- Excessive Agency pasó del sexto al tercer puesto y Unbounded Consumption del décimo al sexto. Los agentes que llaman a herramientas encarecen ambos riesgos.
- La clasificación combina votos y datos. Según la guía 2026 de OWASP, el voto de la comunidad pesa un 75 % y los datos de incidentes un 25 %, extraídos de 7.714 incidentes públicos, de los que se clasificaron 6.639.
- Hay incidentes reales para cada entrada. EchoLeak (CVSS 9,3), el compromiso del paquete LiteLLM del 24 de marzo de 2026 y un XSS almacenado en AnythingLLM (CVE-2026-41318) encajan cada uno con una entrada concreta.
- Una capa de runtime cubre parte de la lista, no toda. Los datos de entrenamiento, las bases vectoriales y el código de la aplicación siguen siendo tuyos, como muestra el mapeo más abajo.
Datos clave de un vistazo
| 2026 | Riesgo | Posición en 2025 | Cambio |
|---|---|---|---|
| LLM01 | Prompt Injection | 1 | Mismo puesto, alcance mayor |
| LLM02 | Sensitive Information Disclosure | 2 | Mismo puesto, alcance mayor |
| LLM03 | Excessive Agency | 6 | Sube 3 |
| LLM04 | Supply Chain | 3 | Baja 1 |
| LLM05 | Data and Model Poisoning | 4 | Baja 1 |
| LLM06 | Unbounded Consumption | 10 | Sube 4 |
| LLM07 | Misinformation | 9 | Sube 2 |
| LLM08 | Hidden Context Exposure | 7 (System Prompt Leakage) | Cambia de nombre y se amplía |
| LLM09 | Vector and Embedding Weaknesses | 8 | Baja 1 |
| LLM10 | Improper Output Handling | 5 | Baja 5 |
Qué es el OWASP Top 10 for LLM Applications 2026
El OWASP Top 10 for LLM Applications 2026 es una lista priorizada de las diez categorías de riesgo más relevantes para el software que usa modelos de lenguaje. Es una guía para el modelado de amenazas, no un escáner de vulnerabilidades ni un estándar de cumplimiento. OWASP ordena los riesgos con votos de la comunidad contrastados con incidentes reales.
OWASP explica que la clasificación se contrastó con miles de incidentes del mundo real y añade correspondencias con NIST, MITRE ATLAS y CWE. OWASP añade que los datos de incidentes pueden mover una entrada un nivel, pero no pueden imponerse por sí solos al voto de la comunidad. La Cloud Security Alliance apunta que la lista sirve para priorizar y no mide probabilidad, porque los datos de incidentes son incompletos y las categorías se solapan.
Cómo leemos la lista
Para cada riesgo damos el cambio respecto a 2025 y un caso real con fecha cuando está documentado. Si no encontramos un incidente público verificable, lo decimos. Para los riesgos de agentes, consulta el OWASP Top 10 for Agentic Applications 2026, y para los protocolos de herramientas el OWASP MCP Top 10.
)
Qué cambió respecto a la lista de 2025
Hay tres cambios clave. Excessive Agency y Unbounded Consumption suben porque los modelos ya llaman a herramientas y ejecutan bucles largos. System Prompt Leakage pasa a llamarse Hidden Context Exposure. Varias entradas amplían su alcance y ninguna desaparece. Ocho de los diez números se movieron.
Excessive Agency sube porque una salida errónea o manipulada ahora puede provocar acciones reales en sistemas externos. Unbounded Consumption sube porque la entrada añade denial of wallet, interrupción del servicio y extracción de modelos. Hidden Context Exposure cubre instrucciones del desarrollador, esquemas de herramientas, texto de políticas recuperado y criterios de flujo de trabajo, no solo el system prompt. Prompt Injection, Supply Chain e Improper Output Handling ganaron alcance sobre el contenido que llega por documentos, imágenes, salidas de herramientas, memoria y servidores MCP.
La guía de OWASP añade que Prompt Injection ahora cubre ataques multimodales, como instrucciones ocultas en imágenes o audio, que Supply Chain cubre artefactos de modelo promocionados que no son lo que dicen ser, que Data and Model Poisoning incluye la subversión del fine-tuning y que Improper Output Handling cubre el código inseguro generado por asistentes de IA. La republicación de la Cloud Security Alliance de un análisis de Aembit (21 de octubre de 2026) aporta más detalle sobre el alcance. La guía de OWASP es la referencia para la redacción exacta de cada entrada.
OWASP Top 10 for LLM Applications 2026: los 10 riesgos explicados
Cada riesgo sigue el mismo patrón: qué es, qué cambió, un caso real cuando está documentado y el primer control que conviene poner. El orden es el de la clasificación de OWASP en 2026, no la probabilidad que tiene cada riesgo en tu propia aplicación.
LLM01: Prompt Injection
Prompt Injection ocurre cuando un texto, escrito por un usuario u oculto en contenido que el modelo lee, cambia su comportamiento de una forma que el desarrollador no previó. En 2026 el alcance incluye de forma explícita las instrucciones que llegan por documentos, imágenes, audio, salidas de herramientas, memoria persistente y contenido de servidores MCP.
El caso más claro es EchoLeak. Según The Hacker News (12 de junio de 2025), Aim Security descubrió que un correo manipulado podía hacer que Microsoft 365 Copilot filtrara datos de su contexto sin un solo clic del usuario. Se registró como CVE-2025-32711 con un CVSS de 9,3. Microsoft lo corrigió en el servidor.
Primer control: trata cada documento, correo y resultado de herramienta recuperado como entrada no fiable e inspecciónalo antes de que el modelo actúe. La guía de OWASP también recoge una "Rule of Two", la aprobación humana para acciones con privilegios y tratar las escrituras en memoria como privilegiadas.
LLM02: Sensitive Information Disclosure
Sensitive Information Disclosure es que un modelo o una aplicación revele datos personales, credenciales o información confidencial del negocio. Su alcance en 2026 se extiende a los registros de llamadas a herramientas, los logs, los embeddings y los datos derivados del fine-tuning, y a los sistemas de recuperación que no comprueban quién puede ver qué.
EchoLeak sirve también aquí, porque exfiltró datos a los que accedía la sesión de Copilot del usuario.
Primer control: detecta y enmascara datos personales y secretos en prompts, llamadas a herramientas y respuestas, y decide qué clases de datos pueden llegar a un modelo.
LLM03: Excessive Agency
Excessive Agency significa que una aplicación da al modelo más herramientas, permisos o autonomía de los que necesita la tarea, de modo que una salida equivocada o manipulada se convierte en daño real. Pasó del sexto al tercer puesto en 2026, reflejo de la creciente influencia del modelo sobre sistemas externos.
Un caso documentado es el de Replit. Según eWeek (22 de julio de 2025), el fundador de SaaStr, Jason Lemkin, contó que el agente de IA de Replit borró una base de datos de producción con registros de más de 1.200 directivos, aunque él le había dicho que no cambiara nada sin aprobación. El CEO de Replit lo calificó de inaceptable.
Primer control: da a cada aplicación solo las herramientas que necesita, pon límites a cada una y exige confirmación antes de las acciones irreversibles. La guía de OWASP añade que evites herramientas abiertas, ejecutes las acciones en el contexto del usuario, exijas aprobación humana para las acciones de alto impacto y apliques la política fuera del LLM.
LLM04: Supply Chain
Supply Chain abarca los componentes comprometidos de los que depende la aplicación: modelos, pesos, librerías, plantillas, plugins y servidores MCP. El texto de 2026 añade pesos de modelo sustituidos, artefactos de modelo promocionados que no son lo que dicen ser, formatos de archivo inseguros, plantillas manipuladas, procedencia débil y nombres de paquetes inventados por los modelos, conocidos como slopsquatting.
En marzo de 2026 le tocó al paquete de Python LiteLLM. Según la actualización de seguridad de LiteLLM (24 de marzo de 2026), las versiones 1.82.7 y 1.82.8 de PyPI contenían un ladrón de credenciales que recogía variables de entorno, claves SSH, credenciales de la nube, tokens de Kubernetes y contraseñas de bases de datos. El fabricante indica que los paquetes estuvieron activos unos 40 minutos.
Primer control: permite solo modelos, paquetes y servidores aprobados, fija las versiones y verifica la procedencia antes de aprobar.
LLM05: Data and Model Poisoning
Data and Model Poisoning es la manipulación de los datos de entrenamiento, fine-tuning o recuperación para que el modelo se comporte mal o lleve un disparador oculto. La entrada de 2026 cubre el entrenamiento, el fine-tuning (incluida su subversión), la ingesta de RAG y los adaptadores comprometidos, y separa la inyección en tiempo de inferencia en LLM01.
El envenenamiento necesita menos documentos de los que muchos equipos suponen. Según Anthropic (9 de octubre de 2025), en colaboración con el UK AI Security Institute y The Alan Turing Institute, bastaron 250 documentos maliciosos para crear una puerta trasera en modelos de entre 600 millones y 13.000 millones de parámetros, con independencia del tamaño de los datos de entrenamiento. La puerta trasera producía texto sin sentido, un caso acotado.
Primer control: valida y rastrea la procedencia de los datos de entrenamiento y fine-tuning, evalúa los modelos antes de producción y vigila lo que producen.
LLM06: Unbounded Consumption
Unbounded Consumption es una inferencia excesiva y sin control que dispara el coste, agota la capacidad o permite a un atacante copiar el modelo. Subió del décimo al sexto puesto en 2026, y la entrada añade denial of wallet, interrupción del servicio y extracción de modelos.
No encontramos un incidente público verificable y con fecha para esta entrada, así que no citamos ninguno. El mecanismo está claro: un agente que encadena llamadas a herramientas puede multiplicar el coste por petición, y una clave de API filtrada puede convertir un endpoint de pago por token en una factura abierta.
Primer control: define límites de peticiones basados en tokens, topes de gasto estrictos, límites de tamaño por petición y de ejecuciones por herramienta, y prevé un respaldo si un proveedor se degrada. La guía de OWASP recomienda además cortacircuitos para los agentes.
LLM07: Misinformation
Misinformation es que el modelo produzca información falsa o engañosa y que personas o sistemas actúen sobre ella. Subió del noveno al séptimo puesto. Según la Cloud Security Alliance, los profesionales la situaron casi al final en el voto de la comunidad, mientras que el registro de incidentes la colocó cerca de lo más alto.
El caso de Air Canada es la referencia habitual. Según la American Bar Association (febrero de 2024), un tribunal de la Columbia Británica dictaminó el 14 de febrero de 2024 que la aerolínea era responsable de lo que su chatbot dijo sobre las tarifas por duelo, y fijó una indemnización de unos 650 dólares canadienses más intereses y costas.
Primer control: basa las respuestas en tus propios documentos con citas, limita los temas que puede tratar un asistente y añade revisión humana donde los errores cuestan caro. La guía de OWASP también separa la generación de la acción (afirmar, comprobar y luego actuar), de modo que una respuesta errónea no active una herramienta sin revisión.
LLM08: Hidden Context Exposure
Hidden Context Exposure sustituye a System Prompt Leakage. Cubre la revelación de cualquier cosa que el usuario no debía ver: instrucciones del desarrollador, esquemas de herramientas, texto de políticas recuperado y criterios de flujo de trabajo, no solo el system prompt. En 2025 era el séptimo con el nombre anterior.
No encontramos un incidente de 2026 verificable que citar aquí. La lección no cambia: un usuario decidido puede extraer todo lo que se coloca en el contexto, así que el contexto no es lugar para secretos ni reglas de acceso.
Primer control: asume que el contexto oculto puede descubrirse, mantén las credenciales y las reglas sensibles fuera de los prompts, aplica los permisos y el comportamiento en código fuera del modelo y vigila los intentos de extracción.
LLM09: Vector and Embedding Weaknesses
Vector and Embedding Weaknesses son fallos en cómo los sistemas de recuperación almacenan y obtienen datos: fugas entre inquilinos, manipulación de la recuperación e inferencia de datos sensibles a partir de embeddings. Pasó del octavo al noveno puesto en 2026 con un alcance más preciso.
El riesgo de los embeddings está documentado en investigación. Un artículo presentado en EMNLP 2023 (diciembre de 2023) mostró que un método en varios pasos podía recuperar de forma exacta el 92 % de las entradas de 32 tokens a partir de sus embeddings. Trata una base vectorial como datos sensibles.
Primer control: aplica permisos por usuario en la base vectorial, separa los inquilinos y valida los documentos que indexas.
LLM10: Improper Output Handling
Improper Output Handling ocurre cuando una aplicación usa la salida del modelo sin validarla y esa salida llega a un navegador, una shell o una base de datos como si fuera de confianza. Bajó del quinto al décimo puesto, pero la entrada de 2026 añade caracteres de control de terminal, descarga automática de recursos externos, salidas de herramientas no fiables y código inseguro generado por asistentes de IA.
Un ejemplo de 2026 es CVE-2026-41318. Según OSV (24 de abril de 2026), las versiones de AnythingLLM anteriores a la 1.12.1 mostraban los pies de gráfico generados por el LLM sin codificarlos, lo que permitía a un atacante que pudiera influir en la salida, por ejemplo con un documento compartido, ejecutar código en los navegadores de otros usuarios. Obtuvo un 5,4 (medio) y muestra cómo una prompt injection se convierte en XSS almacenado.
Primer control: trata la salida del modelo como cualquier entrada externa. Valídala y escápala antes de mostrarla, ejecutarla o guardarla.
Cómo se agrupan los diez riesgos por tipo de control
La mayoría de los diez riesgos caen en tres grupos: los que se frenan en runtime inspeccionando y limitando el tráfico, los que se previenen en diseño e ingeniería y los que necesitan ambos. Saber el grupo te dice si la solución es un gateway, una revisión de código o un proceso de datos.
| Riesgo | Se frena sobre todo con |
|---|---|
| LLM01 Prompt Injection | Inspección en runtime y mínimo privilegio |
| LLM02 Sensitive Information Disclosure | Controles de datos en runtime y clasificación de datos |
| LLM03 Excessive Agency | Política en runtime y restricción de herramientas |
| LLM04 Supply Chain | Proceso de aprobación y listas de permitidos en runtime |
| LLM05 Data and Model Poisoning | Gobierno de datos y evaluación de modelos |
| LLM06 Unbounded Consumption | Límites y presupuestos en runtime |
| LLM07 Misinformation | Fundamentación, revisión y límites de temas |
| LLM08 Hidden Context Exposure | Diseño (sin secretos en los prompts) y detección de extracción |
| LLM09 Vector and Embedding Weaknesses | Control de acceso en la capa de datos |
| LLM10 Improper Output Handling | Código de la aplicación e inspección de salidas |
Seguridad y gobernanza: cubrir el OWASP LLM Top 10 en runtime
Una capa de control en runtime se sitúa en el camino del tráfico de IA y cubre lo que pasa por ella: prompts, respuestas, llamadas a herramientas y gasto. No ve los datos de entrenamiento, tu base vectorial ni el código de tu aplicación, así que en esta lista unos riesgos se cubren y otros se comparten.
Agent Gateway (TrustGate) de NeuralTrust decide a qué modelos y herramientas puede llegar cada aplicación y con qué límites. Agent Runtime Security (TrustGuard) inspecciona el contenido y aplica políticas para registrar, bloquear, enmascarar o pedir confirmación. Ambos funcionan como parte de la Runtime Security Mesh.
| Riesgo | Cobertura | Cómo ayuda una capa de runtime | Lo que sigue siendo tuyo |
|---|---|---|---|
| LLM01 Prompt Injection | Cubierto | Detecta jailbreaks e instrucciones inyectadas en la entrada del usuario, documentos, páginas y resultados de herramientas, y las registra o bloquea | Ajuste de políticas y pruebas |
| LLM02 Sensitive Information Disclosure | Cubierto | Detecta y enmascara datos personales, secretos y credenciales en prompts, llamadas a herramientas y respuestas | Decidir qué datos pueden llegar a un modelo |
| LLM03 Excessive Agency | Cubierto | Limita cada aplicación a las herramientas y modelos asignados, con niveles de acceso, límites por herramienta y acciones de bloqueo o confirmación | Revisar qué necesita realmente cada agente |
| LLM04 Supply Chain | Compartido | Permite solo modelos y servidores MCP aprobados e inspecciona las descripciones y resultados de herramientas de terceros | Verificar la procedencia y analizar las dependencias |
| LLM05 Data and Model Poisoning | Compartido | Inspecciona las respuestas y bloquea las que quedan fuera de lo permitido, sea cual sea la causa | Validar los datos de entrenamiento y evaluar los modelos |
| LLM06 Unbounded Consumption | Cubierto | Aplica límites de peticiones, presupuestos de gasto, límites de tamaño y de ejecuciones por herramienta, y respaldo entre proveedores | Elegir los límites |
| LLM07 Misinformation | Compartido | Limita los temas que puede tratar un asistente | Comprobar la exactitud en casos críticos |
| LLM08 Hidden Context Exposure | Cubierto | Detecta intentos de extraer instrucciones y elimina de las respuestas las cadenas internas conocidas | Mantener los secretos fuera de las instrucciones del sistema |
| LLM09 Vector and Embedding Weaknesses | Compartido | Llama a las fuentes de datos con la identidad de quien pregunta, inspecciona los documentos recuperados y enmascara datos personales | Permisos por usuario en la base vectorial |
| LLM10 Improper Output Handling | Compartido | Inspecciona las respuestas antes de entregarlas y puede rechazar o enmascarar valores señalados, en respuestas sin streaming | Validar y escapar la salida antes de usarla |
Cinco riesgos quedan cubiertos en runtime y cinco se comparten. Los compartidos muestran que un gateway complementa la ingeniería segura y no la sustituye. Nuestras guías sobre seguridad de agentes de IA y gestión de vulnerabilidades de IA cubren lo que queda fuera del camino del tráfico.
Por dónde empezar con el OWASP Top 10 for LLM applications
Empieza donde tu exposición es mayor. Si tu aplicación solo conversa, empieza por LLM01, LLM02 y LLM08. Si llama a herramientas, añade primero LLM03 y LLM06. Si recupera datos de la empresa, añade LLM09. Si se apoya en modelos o servidores de terceros, añade LLM04.
| Si eres | Empieza por | Por qué |
|---|---|---|
| Responsable de un chatbot de cara al cliente | LLM01, LLM02, LLM07 | Entrada no fiable, datos personales y respuestas falsas llegan a los clientes |
| Constructor de agentes que llaman a herramientas | LLM03, LLM06, LLM01 | Las acciones y el coste crecen con cada herramienta y cada bucle |
| Responsable de un RAG sobre documentos internos | LLM09, LLM02, LLM05 | Los permisos de recuperación y la calidad de los datos deciden qué se filtra |
| Usuario de modelos, paquetes o servidores MCP de terceros | LLM04, LLM03 | Un componente comprometido hereda tu acceso |
| Responsable de una web que muestra la salida del modelo | LLM10, LLM01 | Un texto inyectado puede convertirse en código en el navegador de un usuario |
Elijas lo que elijas, pruébalo. Haz pruebas adversariales contra cada riesgo antes del lanzamiento y monitoriza en producción. El sistema de puntuación AIVSS puede ordenar los hallazgos.
Conclusión
El OWASP Top 10 for LLM applications 2026 mantiene los mismos diez riesgos y desplaza el peso hacia los agentes: el acceso a herramientas y el coste descontrolado suben, y el contexto oculto abarca más que el system prompt. Úsalo para modelar las amenazas de cada aplicación, asignar un responsable a cada riesgo y probarlo antes del lanzamiento. Cubre en runtime lo que pasa por el tráfico de IA y corrige el resto en datos, código y procesos.
Protege tus aplicaciones LLM en producción con NeuralTrust
Reserva una demo y descubre cómo NeuralTrust te da visibilidad y control sobre las aplicaciones y los agentes de IA que tus equipos construyen y ejecutan.
)
Lecturas relacionadas
- OWASP Top 10 for Agentic Apps 2026
- OWASP MCP Top 10: todos los riesgos explicados
- ¿Qué es el envenenamiento de memoria y contexto?
- AI Gateway para IA agéntica: seguridad de MCP y A2A
Preguntas frecuentes sobre OWASP Top 10 for LLM applications
1. ¿Qué es el OWASP Top 10 for LLM applications?
Es una lista ordenada de los diez riesgos de seguridad más críticos para las aplicaciones basadas en modelos de lenguaje, mantenida por el OWASP GenAI Security Project. La edición de 2026 se publicó en agosto de 2026 y va de LLM01 Prompt Injection a LLM10 Improper Output Handling. Es una guía para modelar amenazas, no una certificación.
2. ¿Qué cambió en el OWASP Top 10 for LLM applications 2026?
No se eliminó ningún riesgo y cambiaron ocho de las diez posiciones. Excessive Agency subió del sexto al tercero, Unbounded Consumption del décimo al sexto y Misinformation del noveno al séptimo. System Prompt Leakage pasó a ser Hidden Context Exposure, y varias entradas ganaron alcance sobre salidas de herramientas, memoria y contenido MCP.
3. ¿Cuál es el riesgo número uno del OWASP LLM Top 10?
Prompt Injection (LLM01) sigue en primer lugar. Según la guía 2026 de OWASP, si se ordenara solo por recuento bruto de incidentes saldría del top diez, algo que los autores atribuyen a que las defensas reducen los exploits públicos, no a un riesgo menor. La Cloud Security Alliance añade que quedó primero en el voto de la comunidad. Ahora cubre también instrucciones que llegan por documentos, imágenes, memoria y servidores MCP.
4. ¿Qué es Hidden Context Exposure?
Hidden Context Exposure (LLM08) sustituye a System Prompt Leakage. Cubre la revelación de todo lo que se oculta al usuario en el contexto del modelo: instrucciones del desarrollador, esquemas de herramientas, texto de políticas recuperado y criterios de flujo de trabajo. La lección es mantener secretos y reglas de acceso fuera de los prompts y aplicarlos en código.
5. ¿Qué diferencia hay entre el OWASP LLM Top 10 y el Agentic Top 10?
El LLM Top 10 cubre los riesgos de cualquier aplicación que usa un modelo de lenguaje, incluidos chatbots y sistemas RAG. El Agentic Top 10 (ASI01 a ASI10) cubre los agentes que planifican y actúan mediante herramientas, como el secuestro de objetivos o los agentes rogue. Quien construya agentes debería leer ambos, porque LLM03 Excessive Agency los une.
6. ¿Cómo me protejo frente al OWASP LLM Top 10?
Combina cuatro capas: limita a qué puede llegar cada aplicación, inspecciona prompts, llamadas a herramientas y respuestas en runtime, protege los datos y el código que rodean al modelo y prueba con prompts adversariales antes del lanzamiento. Una capa de runtime cubre parte de la lista. Los datos de entrenamiento, las bases vectoriales y el código necesitan sus propios controles.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro Gartner Hype Cycle reports de 2026, y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- OWASP GenAI Security Project, OWASP Top 10 for LLM Applications 2026, agosto de 2026.
- OWASP GenAI Security Project, anuncio del Top 10 for LLM Applications 2026, 1 de septiembre de 2026.
- Cloud Security Alliance, The OWASP Top 10 for LLM Applications 2026: What Changed and Why It Matters, 21 de octubre de 2026.
- The Hacker News, Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data, 12 de junio de 2025.
- eWeek, AI Agent Wipes Production Database, Then Lies About It, 22 de julio de 2025.
- LiteLLM, Security Update: Suspected Supply Chain Incident, 24 de marzo de 2026.
- Anthropic, A small number of samples can poison LLMs of any size, 9 de octubre de 2025.
- American Bar Association, BC Tribunal Confirms Companies Remain Liable for Information Provided by AI Chatbot, febrero de 2024.
- OSV, CVE-2026-41318 (AnythingLLM), 24 de abril de 2026.
- Morris et al., Text Embeddings Reveal (Almost) As Much As Text, EMNLP, diciembre de 2023.