Data Leakage
Información que cruza un límite no autorizado
Data Leakage, en este documento de seguridad, es la exposición o transferencia de información a un actor, canal o finalidad que no está autorizado para recibirla. Puede ser accidental o inducida. No exige que un atacante controle el sistema ni que la información aparezca en una respuesta final.
CWE-200 describe exposición de información sensible a un actor no autorizado y advierte sobre clasificaciones demasiado amplias. Una causa concreta puede ser una autorización incorrecta, un log excesivo o una salida mal protegida. Nombrar la consecuencia no identifica por sí solo esa causa.
Este significado es distinto del data leakage estadístico: información del conjunto de evaluación o del futuro que contamina entrenamiento y medición. Ese problema afecta la validez de una evaluación, aunque no exista una divulgación indebida. El contexto debe dejar claro cuál de las dos preguntas se está haciendo.
Activo, destinatario y canal
Para investigar una posible fuga conviene identificar qué información era protegida, quién terminó pudiendo conocerla y mediante qué recorrido. Una lectura legítima puede ser seguida por una salida no autorizada. Un documento permitido para un usuario no es automáticamente público para todos los servicios que ese usuario utiliza.
El canal puede ser una respuesta, archivo, exportación, argumento de herramienta, repositorio, log o telemetría. Una referencia externa también puede provocar una transmisión cuando un renderer la solicita. Por eso la revisión debe seguir el flujo hasta el consumidor, no detenerse al producir texto.
Un dato visible para el modelo ya estuvo expuesto a un componente adicional. Si esa exposición está permitida depende del sistema, las condiciones de tratamiento y el alcance autorizado; no puede inferirse únicamente del nombre del proveedor o de la ubicación del proceso.
Aplicaciones AI
La entrada de OWASP LLM 2026 sobre divulgación sensible incluye contexto, herramientas, memoria y señales operativas entre las superficies que requieren protección. En el Atlas se conserva el concepto general y se examinan esas rutas sin crear una segunda definición de fuga para LLMs.
Un sistema RAG necesita comprobar el acceso a los documentos recuperados, no confiar en que el modelo omitirá los de otro tenant. Una herramienta debe limitar lo que devuelve. Un resumen puede reproducir un secreto que nunca era necesario cargar. Filtrar solamente la respuesta final deja otros canales sin examinar.
También debe distinguirse lo proveniente del contexto activo de contenido memorizado durante entrenamiento. Borrar una fuente de retrieval no demuestra que se haya eliminado información de pesos, cachés, resúmenes, logs o copias derivadas. La respuesta depende de qué activos recibieron realmente los datos.
Ejemplo: diagnóstico sin credenciales
En Commerce, una herramienta obtiene el estado de una integración de pagos. Puede devolver que la autenticación falló y un identificador de diagnóstico, sin devolver la clave utilizada. El agente dispone de evidencia para continuar sin incorporar el secreto a la conversación.
Si el diagnóstico imprime la clave y luego una redacción la oculta en la pantalla, todavía hay que averiguar dónde se almacenó o transmitió antes. Que el texto final parezca limpio no certifica todo el recorrido. La observación debe distinguir datos sintéticos de una credencial real.
AI / LLM Observability aporta evidencia de runtime, con sus límites de retención y muestreo. Aumentar la captura para investigar puede crear otra exposición; el diseño necesita decidir qué conservar y para quién.
Prevención y respuesta
Least Privilege y Trust Boundaries ayudan a reducir fuentes accesibles y destinos permitidos. Minimización, autorización por recurso, separación entre tenants y manejo seguro de salidas deben aplicarse donde está el flujo real. Cifrar el transporte no impide que un receptor autorizado para el canal reciba demasiado contenido.
Prompt Injection puede inducir una divulgación, pero una fuga también puede surgir de un bug o una configuración excesiva. AI Guardrails puede añadir controles; no reemplaza la autorización ni demuestra protección de todos los canales.
Ante una sospecha, una respuesta situada conserva evidencia limitada, identifica activos y destinatarios, restringe la ruta y considera revocación de credenciales o tratamiento de copias derivadas según el caso. Una búsqueda sin resultados o una explicación del modelo no demuestra que no hubo exposición. La conclusión debe separar lo observado, lo inferido y lo que permanece desconocido.
Fuentes y alcance
El ejemplo es síntesis del Atlas. No se prescribe un procedimiento de respuesta a incidentes ni se interpreta una obligación legal concreta.