Sustitución de jueces generativos por modelos de decisión para la defensa contra inyecciones de prompts

StackOne ha actualizado su guardián Defender contra inyecciones de prompts sustituyendo un gran modelo de lenguaje generativo por un modelo de decisión especializado. Este cambio, detallado en una publicación de ingeniería del 15 de octubre de 2026, traslada el último nivel de su sistema de defensa de un juez que genera texto a un clasificador probabilístico que opera íntegramente dentro de la infraestructura local.

Qué ocurrió

Defender protege a los agentes que llaman a herramientas inspeccionando cada resultado devuelto por herramientas externas. El sistema utiliza un enfoque de tres niveles para equilibrar velocidad y precisión. El Nivel 1 realiza un rápido patrón de coincidencia en aproximadamente un milisegundo. El Nivel 2 emplea un clasificador de 22 MB que se ejecuta en CPU, puntuando cadenas en decenas de milisegundos. Anteriormente, el Nivel 3 dependía de un pequeño LLM generativo para revisar casos ambiguos escalados desde el Nivel 2. Aunque era eficaz detectando ataques, este juez generativo resultaba costoso y lento, requiriendo recursos GPU y cientos de milisegundos por llamada. Solo podía procesar un subconjunto de resultados debido a estas restricciones.

El equipo de ingeniería buscó una alternativa más barata y rápida para el Nivel 3 que pudiera evaluar potencialmente todos los resultados de las herramientas junto con el Nivel 2, en lugar de solo los inciertos. Reemplazaron el juez generativo por un modelo de decisión "System One". Este tipo de modelo, popularizado recientemente por TypeSafe y Jev, toma decisiones sin generar texto. La nueva implementación utiliza un modelo de decisión construido sobre una base ModernBERT, que cabe en una única GPU pequeña y puede alojarse localmente. Este cambio permite al sistema mantener la privacidad de los datos mientras reduce la latencia y el costo.

Cómo funciona

Los modelos System One llevan el nombre del concepto de Daniel Kahneman sobre el pensamiento rápido e intuitivo. A diferencia de los modelos generativos que producen texto abierto, estos modelos aceptan un estado, como texto o JSON, y un conjunto de preguntas tipadas. La salida está estrictamente limitada a opciones predefinidas: selecciones de opción múltiple, puntuaciones numéricas o probabilidades binarias conocidas como "nouls". Dado que el espacio de salida es cerrado, el modelo no puede ser engañado para divagar, negarse o producir texto malformado mediante inyección de prompts. Solo puede asignar probabilidades a las opciones proporcionadas por los desarrolladores.

Esta arquitectura ofrece dos ventajas principales para los guardianes de seguridad. Primero, el espacio de salida cerrado impide que el modelo sea secuestrado hacia comportamientos inesperados. Segundo, la salida es una probabilidad cruda en lugar de una palabra generada. Los jueces generativos utilizan implícitamente un umbral de 0,5 al elegir entre palabras como "bloquear" o "permitir", pero este umbral cambia de forma impredecible durante el reentrenamiento. Un modelo de decisión proporciona probabilidades explícitas, permitiendo a los ingenieros establecer umbrales personalizados basados en las tasas de falsos positivos deseadas para cada despliegue. StackOne probó APIs alojadas como Jev, pero las rechazó debido a preocupaciones sobre la privacidad de los datos, ya que los resultados de las herramientas a menudo contienen registros sensibles de empleados. En su lugar, ajustaron finamente un modelo de pesos abiertos con sus propios datos.

Detalles clave

• La coincidencia de patrones del Nivel 1 se completa en aproximadamente un milisegundo.
• El Nivel 2 utiliza un clasificador de 22 MB que puntúa cadenas en CPU en decenas de milisegundos.
• El nuevo modelo del Nivel 3 se basa en una base ModernBERT y cabe en una única GPU pequeña.
• El rendimiento cero-shot (sin entrenamiento previo) del modelo de decisión no entrenado fue del 54,5% de precisión en datos de prueba retenidos.
• El modelo responde preguntas específicas sobre instrucciones, solicitudes de exfiltración de datos y afirmaciones de identidad.
• Las pruebas de API alojada con Jev costaban $0.000025 por llamada, pero fallaron en generalizar bien para las cargas útiles de las herramientas.

Por qué importa

Para los ingenieros que construyen sistemas agénticos, el costo y la latencia de las comprobaciones de seguridad son cuellos de botella significativos. Los jueces generativos, aunque flexibles, introducen latencia variable y altos costos de cómputo porque requieren GPUs y analizan grandes bloques de texto. Al migrar a un modelo de decisión, StackOne demuestra que las tareas de clasificación de alto riesgo no necesitan generación abierta. Este enfoque permite un control más estricto sobre el comportamiento del modelo y características de rendimiento más predecibles. También habilita la posibilidad de escanear cada resultado individual de herramienta, en lugar de solo un subconjunto muestreado o escalado, mejorando la postura general de seguridad sin aumentos proporcionales de costo.

La privacidad de los datos sigue siendo una restricción crítica para las aplicaciones de IA empresariales. Muchas organizaciones no pueden enviar datos internos, como notas de CRM o correos electrónicos, a APIs de terceros para su clasificación. La transición a modelos de decisión locales de pesos abiertos aborda esto manteniendo todo el procesamiento dentro de la infraestructura existente. Este patrón sugiere un cambio más amplio en las herramientas de seguridad de IA: alejándose de la dependencia de modelos de frontera para cada tarea y avanzando hacia modelos especializados y más pequeños, ajustados finamente para límites de decisión específicos. Esto reduce la dependencia de proveedores externos y disminuye el riesgo operativo.

Qué puedes hacer

• Audita tus defensas actuales contra inyecciones de prompts para identificar dónde se usan modelos generativos para tareas simples de clasificación.
• Evalúa modelos System One o de decisión para cualquier juicio de seguridad binario o multiclase en tu pipeline.
• Define preguntas específicas y tipadas para tus comprobaciones de seguridad en lugar de hacer preguntas abiertas como "¿es esto seguro?".
• Prueba modelos de decisión de pesos abiertos en hardware local para asegurar que cumplen tus requisitos de latencia y privacidad.
• Establece umbrales de probabilidad explícitos para bloquear acciones basados en tu tasa aceptable de falsos positivos.
• Ajusta finamente los modelos con tus propios datos históricos para mejorar la precisión más allá de las capacidades cero-shot.