Guardrails que funcionan: clasificadores, políticas y moderación en producción

Siete capas, no un filtro

Cada capa atrapa una falla distinta; juntas cubren lo que ningún modelo cubre solo.

Las capas 5 y 7 no dependen de que un modelo acierte, y por eso aguantan cuando las demás fallan. El NCSC británico dice lo mismo sobre la inyección de prompts: trátala como un riesgo residual y limita su impacto con controles deterministas, sin LLM.

Los modelos guardianes disponibles en septiembre de 2026

Ojo: “modelo guardián” abarca trabajos distintos. Prompt Guard 2 y Prompt Shields buscan ataques en las entradas, ShieldGemma 2 modera imágenes, NeMo Guardrails orquesta otros modelos y los demás juzgan contenido contra una política. Cada ficha declara además sus límites, desde evaluaciones solo en inglés hasta menos fiabilidad ante entradas ofuscadas.

Clasificadores con la política en el prompt: una ayuda en español y francés

Los modelos guardianes clásicos llevan una taxonomía fija en sus pesos, como las 14 categorías de riesgo de Llama Guard 4. Los clasificadores con la política en el prompt (gpt-oss-safeguard, Shieldstral y el modo “trae tus propios criterios” de Granite Guardian) leen tu política en lenguaje natural en el momento de la inferencia, junto al contenido que juzgan. Cambiar la política es editar un texto, no reunir datos etiquetados y reentrenar.

El equipo legal o de cumplimiento dueño de la política puede redactarla en el idioma del negocio, con sus propios ejemplos: qué cuenta como asesoría financiera para un banco colombiano o como promesa médica para una aseguradora francesa. Un solo modelo la aplica en todos los productos, y cada cambio queda versionado y revisable.

Dos cautelas. La precisión depende de la redacción: Google advierte que ShieldGemma 2 es muy sensible a cómo se describen los principios de seguridad. Y razonar cuesta: gpt-oss-safeguard ofrece esfuerzo bajo, medio y alto, y Granite Guardian 4.1 un modo con y sin razonamiento, de ahí la cascada habitual: primero un clasificador rápido de una sola pasada y el juez que razona solo para lo marcado o ambiguo.

Mide con tu propio conjunto etiquetado

Las cifras del fabricante dicen que un modelo es plausible; solo tus datos dicen si funciona.

Arma el conjunto con tráfico real, en cada idioma: peticiones claramente permitidas, claramente prohibidas y, sobre todo, los casos límite donde vive el exceso de rechazos. Los benchmarks públicos ayudan a sembrarlo (XSTest y OR-Bench para el exceso de rechazos, SORRY-Bench para peticiones inseguras), pero están sobre todo en inglés y no conocen tu política.

Las cifras de los fabricantes muestran los compromisos. Meta reporta un 97,5 % de recall con un 1 % de falsos positivos para Prompt Guard 2 86M. Los primeros Constitutional Classifiers de Anthropic bajaron el éxito de los jailbreaks del 86 % al 4,4 % en sus pruebas, con un 23,7 % más de cómputo y 0,38 puntos más de rechazos; la cascada de 2026 llevó los rechazos innecesarios a cerca del 0,05 % y el sobrecosto a un 1 %, aproximadamente. Referencias útiles, pero ninguna mide tu política en tus idiomas: eso les toca a tus propias evaluaciones.

Lo que muestra la investigación sobre jailbreaks

Cuatro resultados, descritos solo a nivel conceptual.

• Many-shot jailbreaking (Anthropic, 2024) llena un contexto largo con diálogos falsos en los que un asistente accede. Las respuestas dañinas aumentan con el número de ejemplos, y los modelos más grandes resultaron más vulnerables. Entrenar al modelo para resistir solo retrasó el efecto; clasificar y reescribir el prompt antes bajó el éxito del ataque del 61 % al 2 % en una prueba interna.
• Best-of-N (2024) reenvía una petición con variaciones superficiales aleatorias hasta que una pasa, sin acceso al interior del modelo. Con suficientes intentos, los autores reportan 89 % de éxito en GPT-4o y 78 % en Claude 3.5 Sonnet, y el método también superó defensas como los circuit breakers.
• Crescendo (Microsoft, 2024) escala a lo largo de varios turnos, cada uno inofensivo por sí solo: 98 % de éxito contra GPT-4 y 100 % contra Gemini Pro en las pruebas de sus autores.
• Los bug bounties muestran lo que aportan las capas. En el reto de Anthropic de febrero de 2025, 339 investigadores enviaron más de 300.000 mensajes y uno encontró un jailbreak universal. Contra el sistema de 2026, unos 198.000 intentos no habían encontrado ninguno a enero de 2026, con recompensas de hasta USD 35.000.

La lección: el contexto largo vence a un modelo entrenado en seguridad, el muestreo repetido vence a un clasificador estático y la escalada en varios turnos vence al filtrado mensaje a mensaje. Clasifica conversaciones completas, limita la tasa de peticiones, vigila ráfagas de reintentos casi idénticos y mantén capas que no dependan de ningún modelo.

Dos arquitecturas de referencia

Un chatbot de clientes arriesga sobre todo malas respuestas; un agente interno, malas acciones.

En los agentes, ningún clasificador reemplaza los límites de capacidad: un agente que no puede enviar correos no puede ser engañado para filtrar datos por correo. Más patrones en prompt injection y seguridad de agentes y en agentes de IA en producción.

Qué significa para empresas en Colombia y en Europa

Idiomas. Contrasta la cobertura de cada modelo guardián con tu tráfico real: Llama Guard 4 y Shieldstral incluyen español y francés, Qwen3Guard declara 119 idiomas, y Granite Guardian 4.1 y ShieldGemma 2 se entrenaron con datos en inglés. Mide en español colombiano y en francés, con jerga, errores de digitación y mezcla de idiomas, no con benchmarks traducidos.

Residencia de datos. La mayoría de los modelos guardianes abiertos usa Apache 2.0 y corre en tu propia infraestructura, así que el contenido revisado no sale de ella. Sus registros contienen el texto más sensible de tu sistema: en Colombia están sujetos a la Ley 1581 de 2012 y en la UE al RGPD, con reglas de retención y acceso acordes.

Regulación. En la UE, el artículo 50 del AI Act exige desde el 2 de agosto de 2026 informar a las personas de que interactúan con un sistema de IA. Desde el 2 de diciembre de 2026, un generador de imagen o video que pueda producir de forma previsible y reproducible imágenes íntimas sin consentimiento o material de abuso sexual infantil necesita salvaguardas que lo impidan de forma fiable, o cae en las nuevas prohibiciones: ahí los guardrails pasan a ser obligación legal. Detalles en nuestro mapa regulatorio de 2026.

Checklist de lanzamiento

1. Escribe la política: alcance, definiciones, ejemplos permitidos y prohibidos por idioma, responsable y versión.
2. Arma un conjunto etiquetado con tráfico real, casos límite incluidos, en cada idioma que atiendes.
3. Elige los modelos guardianes por sus errores, latencia y costo medidos, no por las tablas del fabricante.
4. Pon primero un clasificador de entrada liviano y trata todo contenido recuperado como no confiable.
5. Clasifica las salidas con la misma política y una acción definida por veredicto: permitir, reescribir, bloquear o derivar.
6. Da a las herramientas del agente el mínimo privilegio y exige confirmación para acciones irreversibles.
7. Registra entradas, salidas, veredictos y versiones de modelo con una política de retención; alerta ante ráfagas de reintentos y conversaciones que escalan.
8. Haz red teaming antes del lanzamiento, con ataques de varios turnos y de muchos intentos, y repítelo tras cada cambio de modelo o de política.
9. Revisa rechazos y bloqueos cada semana y devuelve los errores al conjunto etiquetado.