🤖 AI

An Inline Control Architecture for Language Models in Intelligent Transportation Systems

Este artículo presenta Guarded-V2X, una arquitectura de barrera semántica en línea que integra mecanismos de seguridad multicapa para proteger los sistemas de Vehículo-a-Todo habilitados para Modelos de Lenguaje de Gran Escala contra ataques a nivel de prompt, manteniendo al mismo tiempo las restricciones de rendimiento en tiempo real.

Autores originales: Narendra Kumar Dewangan, Mounira Msahli

Publicado 2026-08-06

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Narendra Kumar Dewangan, Mounira Msahli

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo donde tu coche no solo conduce solo, sino que también habla con los semáforos, otros coches y señales de tráfico para mantener a todos seguros. Esto se llama comunicación "Vehículo-a-Todo" (V2X). Es como un chat grupal gigante y de alta velocidad para vehículos, donde comparten advertencias sobre carreteras con hielo, accidentes o zonas de obras. Para que estas conversaciones sean más inteligentes, los ingenieros están empezando a utilizar "Modelos de Lenguaje de Gran Tamaño" (LLM) —el mismo tipo de IA superinteligente que puede escribir historias o responder preguntas— para ayudar a resumir estos mensajes y asistir a los operadores humanos.

Sin embargo, hay un inconveniente. Aunque estos cerebros de IA son excelentes entendiendo el lenguaje, pueden ser engañados. Al igual que un humano puede ser engañado por una mentira hábilmente redactada, una IA puede ser engañada por una "inyección de prompt" (prompt injection)—una instrucción sigilosa escondida dentro de un mensaje que le ordena a la IA ignorar las reglas de seguridad o hacer algo peligroso. La seguridad tradicional de los coches es como un portero que comprueba los documentos de identidad en la puerta; se asegura de que el mensaje provenga de un coche real, pero no comprueba qué es lo que realmente dice el mensaje. Si un actor malintencionado envía una identificación válida con un comando peligroso en su interior, los sistemas de seguridad antiguos podrían dejarlo pasar. Este artículo pregunta: ¿Cómo construimos un portero más inteligente que compruebe el contenido de la conversación en tiempo real, sin ralentizar el tráfico?

Los investigadores detrás de este estudio, de la École Polytechnique (Télécom Paris), han construido un nuevo sistema de seguridad llamado Guarded-V2X. Piensa en él como un punto de control de seguridad superrápido y de múltiples capas para el cerebro de la IA. En lugar de dejar que la IA charle libremente, Guarded-V2X actúa como un editor estricto y un verificador de hechos, todo en uno, trabajando en la fracción de segundo entre que llega un mensaje y el coche o el sistema de tráfico actúa sobre él.

Así es como funciona su "barandilla de seguridad" (guardrail), utilizando algunos ejemplos creativos:

Primero, imagina que un Filtro Basado en Reglas es un portero en la puerta de un club que escanea instantáneamente señales obvias, como palabras prohibidas específicas o códigos extraños. Si ve algo sospechoso, bloquea la entrada inmediatamente sin siquiera despertar a la IA.

Después, hay un Clasificador de Seguridad Ligero. Este es como un guardia de seguridad de pensamiento rápido que echa un vistazo al mensaje y le otorga una "puntuación de riesgo". Si el mensaje parece un poco demasiado arriesgado, el guardia lo detiene. Este paso es increíblemente rápido, diseñado para ocurrir en un abrir y cerrar de ojos.

Luego viene el LLM con Restricción de Política. Esta es la propia IA, pero ha sido puesta en una jaula muy estricta. En lugar de tener permitido escribir un ensayo de forma libre, se le obliga a emitir su respuesta en un formato específico y rígido (como un formulario preimpreso). Solo puede rellenar los espacios en blanco con acciones aprobadas. Si intenta escribir fuera de las líneas, el sistema la rechaza. Esto asegura que la IA no pueda decidir accidentalmente (o maliciosamente) hacer algo loco.

Finalmente, hay un Ensamble de Jueces. Imagina un panel de tres árbitros observando la salida de la IA. Ellos votan si la respuesta es segura. Si incluso un solo árbitro dice: "Espera, eso parece peligroso", la acción es bloqueada. Este sistema de "votación por mayoría" hace que sea muy difícil que un ataque sigiloso se cuele.

El equipo probó este sistema utilizando un entorno simulado que imitaba escenarios de tráfico real, incluyendo ataques complicados donde los hackers intentaron engañar a la IA a través de dos rondas de conversación (como preparar una trampa en el primer mensaje y lanzarla en el segundo). Encontraron que, sin estas barandillas, incluso los modelos de IA avanzados podían ser engañados para aceptar comandos peligrosos el 0,6% de las veces. Pero con Guarded-V2X, el sistema bloqueó todos los intentos inseguros observados en sus pruebas de dos turnos (500 ensayos), logrando una Tasa de Éxito de Aceptación de Intrusión de 0,0% para los atacantes dentro de esa evaluación específica. Los autores enfatizan que este resultado de cero refleja el rendimiento bajo un conjunto finito de pruebas y no es una garantía teórica de que el sistema sea inmune a todos los ataques futuros.

Crucialmente, el artículo enfatiza que esta seguridad no llegó a costa de la velocidad. En el mundo de los coches autónomos, cada milisegundo cuenta. Todo el proceso de Guarded-V2X—desde la comprobación de las reglas hasta la votación de los jueces—tomó solo 118 milisegundos (latencia p95), lo cual está muy por debajo del límite de seguridad de 150 milisegundos requerido para estos sistemas. Esto significa que la IA puede ser segura e inteligente sin hacer que los coches esperen.

Los investigadores también compararon su sistema con otros métodos de seguridad, como simplemente decirle a la IA "ten cuidado" (un prompt de seguridad) o utilizar filtros genéricos. Encontraron que simplemente decirle a la IA que sea amable no era suficiente; la IA seguía siendo engañada. Pero su enfoque arquitectónico por capas—combinando reglas, clasificadores y un formato estricto—fue el único que detuvo completamente los ataques mientras se mantenía lo suficientemente rápido para el tráfico real.

En resumen, Guarded-V2X sugiere que para que la IA sea segura en nuestras carreteras, no podemos confiar solo en el propio juicio de la IA o en advertencias simples. Necesitamos un equipo de seguridad dedicado y de múltiples capas que compruebe cada palabra, obligue a la IA a seguir un guion estricto y vote la decisión final, todo mientras el tráfico sigue moviéndose a plena velocidad. Aunque los resultados se basan en simulaciones y pruebas controladas, los hallazgos sugieren fuertemente que este tipo de arquitectura de "barandilla en línea" es un paso necesario para confiar la compleja y de alto riesgo tarea de gestionar nuestras futuras redes de transporte a la IA.

Resumen Técnico: Guarded-V2X

Planteamiento del Problema
La integración de Modelos de Lenguaje de Gran Escala (LLMs) en sistemas de Vehículo-a-Todo (V2X) para tareas semánticas —como la síntesis de mensajes, asistencia al operador y soporte de decisiones en Unidades de Carretera (RSUs) y nodos de borde— introduce vulnerabilidades de seguridad novedosas. Si bien los mecanismos de seguridad V2X tradicionales (por ejemplo, Infraestructura de Clave Pública, detección de comportamientos indebidos) garantizan la autenticidad e integridad de los mensajes, no abordan la seguridad semántica del contenido en sí mismo. Los atacantes pueden explotar las entradas de lenguaje natural para engañar o anular el comportamiento del modelo mediante la inyección de prompts, incluso cuando los mensajes son criptográficamente válidos. Las soluciones de seguridad de LLM existentes están diseñadas principalmente para interfaces conversacionales y carecen de las restricciones de tiempo real, los contratos de acción verificables por máquina y la ubicación arquitectónica específica requeridas por los estándares de seguridad vehicular.

Metodología
El artículo propone Guarded-V2X, una arquitectura de barrera semántica (guardrail) en línea diseñada para asegurar los servicios V2X habilitados por LLM bajo estrictas restricciones de tiempo real (con un objetivo de presupuesto de latencia de 150 ms). El sistema opera como una capa de control entre la ingesta de mensajes y la ejecución de decisiones, tratando las salidas del LLM como señales de control intermedias en lugar de texto de formato libre.

La arquitectura consta de cinco componentes integrados:

Filtrado de Ingreso Basado en Reglas: Patrones de regex y heurísticos escanean frases de inyección, palabras clave de escalada de herramientas y ofuscación sin invocar modelos aprendidos.
Clasificador de Seguridad Ligero: Una puerta de transformador ajustada (110 millones de parámetros) que produce una puntuación de riesgo continua. Está calibrada para minimizar los falsos negativos mientras se adhiere a un presupuesto estricto de falsas alarmas ( $\alpha = 0.03$ ).
Generación Estructurada Restringida por Políticas: El LLM central (13 mil millones de parámetros) está restringido a emitir decisiones en formato JSON validadas. La recuperación se limita a un corpus firmado (RAG de confianza) para evitar la inyección de contexto no confiable.
Ensamble de Jueces: Un conjunto de adjudicadores post-decisión (basados en reglas y LLM) aplica votación por mayoría para validar la salida estructurada, asegurando que ningún componente sea un punto único de falla.
Enrutador de Acciones Seguras: Aplica un enrutamiento de herramientas con limitación de tasa y bloquea acciones que fallen la validación de esquema o las comprobaciones de política.

La evaluación utiliza un pipeline experimental de cuatro etapas sobre un conjunto de datos simulado alineado con V2X derivado de avisos de RSU, mensajes de operadores y resúmenes V2X anotados. Las etapas incluyen ensayos de intrusión, calibración y benchmarking de latencia, validación de la barrera y pruebas de robustez bajo estrés adversarial (incluyendo inyecciones indirectas de dos turnos, deriva de contexto largo y ataques multilingües).

Contribuciones Clave
El artículo reclama tres contribuciones primarias que distinguen a Guarded-V2X del trabajo previo:

Paradigma de Control en Línea: Es el primer marco que adapta el paradigma de control en línea al pipeline de ejecución V2X, tratando las salidas del LLM como señales de acción ejecutables por máquina en lugar de texto conversacional sujeto a rechazos suaves.
Contratos Verificables por Máquina: A diferencia de otras barreras que dependen de rechazos en lenguaje natural, Guarded-V2X impone decisiones JSON validadas por esquema. Las acciones posteriores solo se permiten tras pasar estrictas comprobaciones de política y esquema.
Adherencia al Tiempo Real: El sistema combina el enrutamiento de herramientas con limitación de tasa, la recuperación solo de fuentes confiables y la adjudicación de múltiples capas para operar dentro del envolvente de tiempo real de 150 ms exigido por los estándares de seguridad vehicular, una restricción ampliamente desatendida por la investigación actual de seguridad de LLM.

Resultados
Los experimentos se realizaron a través de 500 ensayos adversariales de múltiples turnos y se compararon contra baselines sin protección y otros marcos de barreras (por ejemplo, PromptGuard, PIGuard, CAPTURE).

Seguridad: Guarded-V2X logró una Tasa de Éxito de Aceptación de Intrusión (IASR) del 0.0% en entornos adversariales de dos turnos, eliminando efectivamente las completaciones inseguras observadas. En contraste, los baselines sin protección y las configuraciones de solo "prompt de seguridad" retuvieron vulnerabilidades residuales (IAS de > 20% bajo estrés). El sistema redujo la IASR en más del 98% en relación con los baselines de GPT-4.5-Turbo.
Latencia: El overhead de la barrera de extremo a extremo (filtro, clasificador, LLM restringido, juez) se midió en 118 ms (p95), cómodamente dentro del presupuesto de seguridad V2X de 150 ms. Esto es distinto del tiempo de inferencia del LLM principal (4–5 s), que ocurre en rutas centralizadas/en la nube y no forma parte del overhead de la barrera en línea.
Robustez: El sistema mantuvo una IASR < 5% en todas las familias de ataques (inyección directa, ofuscación multilingüe, deriva de contexto largo) y demostró un rendimiento estable a través de diferentes modelos fundacionales (Llama-3, Mistral, Phi-3, etc.), indicando efectividad agnóstica al modelo.
Generalización: Las pruebas en conjuntos de datos fuera de dominio (CIC-IDS2017 y trazas ETSI ITS) mostraron puntuaciones AUROC de 0.91 y 0.89 respectivamente, confirmando una generalización razonable más allá del corpus de entrenamiento sintético.

Significancia y Reclamaciones
El artículo posiciona a Guarded-V2X como una evolución necesaria en la seguridad V2X, cerrando la brecha entre la integridad de mensajes criptográficos y la seguridad semántica. Los autores afirman que el marco permite el despliegue seguro de la IA generativa en canales de soporte de decisiones (por ejemplo, avisos de RSU, coordinación de tráfico) sin comprometer los requisitos de tiempo real de los sistemas vehiculares.

La significancia radica en demostrar que la imposición arquitectónica (restricciones de esquema, recuperación de confianza, adjudicación por ensamble) es superior a las restricciones a nivel de prompt (prompts de seguridad, rechazos suaves) para dominios de seguridad crítica. El sistema apoya una filosofía de "defensa en profundidad", asegurando que incluso si una capa es vulnerada, las capas subsiguientes (jueces, limitadores de tasa) evitan la actuación insegura. Los autores señalan modestamente que la IASR del 0.0% refleja el desempeño bajo una evaluación finita y no constituye una garantía de seguridad formal contra todos los ataques futuros, pero representa una reducción significativa del riesgo residual en comparación con los baselines existentes. Se identifica como trabajo futuro la expansión hacia la integración multimodal y la validación de campo con registros de tráfico RSU en vivo.

Más como este