💻 computer science

ISVEX: A method for the assessment of the risk exposure of intelligent systems

Este artículo presenta ISVEX, un método integral de puntuación de vulnerabilidades que cuenta con variantes tanto "Strong" como "Lite", diseñado para abordar las limitaciones específicas de los estándares existentes mediante la cuantificación de riesgos únicos de la IA, tales como la manipulación de modelos, el envenenamiento de datos y las vulnerabilidades agénticas, a través de un marco multimétrico adaptado.

Autores originales: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Publicado 2026-07-06

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás tratando de calificar qué tan peligroso es un nuevo tipo de automóvil. Durante décadas, hemos usado una lista de verificación estándar (llamada CVSS) para calificar autos regulares. Esa lista pregunta: "¿Puede un ladrón romper la ventana? ¿Pueden puentear el motor? Si roban el auto, ¿cuánto daño se hace?".

Pero hoy, tenemos Autos Autónomos (Sistemas Inteligentes). Estos no son solo cajas de metal; pueden hablar con otros autos, cambiar su propio software, tomar decisiones por sí mismos e incluso engañar a sus sensores con calcomanías en las señales de alto. La vieja lista de verificación no funciona aquí porque no sabe cómo medir un auto que puede "alucinar" una luz verde o un robot que puede hackear sus propios frenos.

Este artículo presenta ISVEX, un nuevo "medidor de peligro" especializado, diseñado específicamente para estos sistemas inteligentes y autónomos.

El Probleem: La regla vieja no encaja

Los autores argumentan que las herramientas actuales para calificar el riesgo son como intentar medir una nube con una regla.

CVSS (El Estándar Antiguo): Excelente para el software regular, pero trata a un chatbot igual que a un auto autónomo. Ignora cosas como la "inyección de prompts" (engañar a la IA con palabras) o el "envenenamiento de datos" (alimentar a la IA con información errónea para que aprenda lecciones equivocadas).
AIVSS (El Intento Más Reciente): Este fue un primer paso para arreglar el CVSS para la IA, pero los autores dicen que es como una "medida a medias". Promedia las puntuaciones, lo que a menudo diluye el peligro. Si un sistema tiene un fallo diminuto pero un potencial catastrófico masivo, la puntuación promedio lo hace parecer de "riesgo medio" cuando debería ser "crítico".

La Solución: ISVEX (El Medidor de Peligro de la IA)

ISVEX es un sistema de puntuación que otorga un número del 0 al 10 para representar qué tan riesgoso es un sistema de IA. Viene en dos versiones:

1. La Versión "Fuerte" (El Examen Completo)

Es una inmersión profunda, como un chequeo médico completo. Utiliza 38 preguntas diferentes agrupadas en 7 categorías.

Lo Básico: Sigue revisando lo de siempre (¿puede alguien hackear la red?).
El Núcleo de la IA: Pregunta: "¿Puede alguien engañar el cerebro de la IA?" (Inyección de prompts) o "¿Pueden robar los secretos de la IA?".
La Capa de Agente: Esta es la parte nueva. Pregunta: "¿Puede esta IA hablar con otras IA y darles órdenes incorrectas?" o "¿Puede cambiar su propio código?". Trata la conexión entre robots (protocolos como MCP y A2A) como una zona crítica de seguridad.
El Contexto: Pregunta: "¿A cuántas personas afecta?" y "¿Podemos deshacer el daño?" (Si una IA difunde un video falso de un CEO, ese daño es permanente. Si un sitio web normal deja de funcionar, simplemente puedes reiniciarlo).

El Truco de "Anti-Dilución":
El artículo destaca un truco matemático ingenioso. En los sistemas antiguos, si tenías un fallo "Crítico" y nueve fallos "Bajos", el promedio haría que todo pareciera "Medio". ISVEX dice: "No". Si una parte es crítica, todo el sistema recibe una advertencia alta, incluso si el resto es seguro. También tiene "suelos" (mínimos) para asegurar que, si un sistema controla algo peligroso (como un robot de hospital), no pueda obtener una puntuación baja solo porque es difícil de hackear.

2. La Versión "Lite" (El Triaje)

Imagina a un guardia de seguridad en un aeropuerto concurrido. No tienen tiempo para un examen médico completo a cada pasajero. Necesitan un escaneo rápido.

ISVEX Lite utiliza solo 12 preguntas clave.
Toma unos 3 minutos en ejecutarse.
Está diseñado para equipos de emergencia (SOC) para decidir rápidamente: "¿Es un error menor o necesitamos llamar a todo el equipo?".
Si la puntuación Lite es alta, cambian a la versión "Fuerte" para una investigación completa.

Cómo funciona en la vida real (Los Escenarios)

Los autores probaron su nuevo medidor contra 10 escenarios de "qué pasaría si" para demostrar que funciona mejor que los anteriores. Aquí hay algunos ejemplos:

La "Señal Engañosa" (Ataque Adversario): Alguien pone una calcomanía en una señal de alto que parece normal para los humanos, pero le dice a un auto autónomo que es una señal de límite de velocidad.
- Medidor Viejo: Dice "Riesgo Medio".
- ISVEX: Dice "Crítico (10/10)" porque hay vidas en juego y el daño es irreversible.
El "CEO Falso" (Deepfakes): Criminales usan IA para crear un video falso de un CEO ordenando una transferencia bancaria.
- Medidor Viejo: Dice "Riesgo Medio" (solo una filtración de datos).
- ISVEX: Dice "Riesgo Alto" porque el daño a la reputación es permanente y afecta a toda la empresa.
El "Error Aburrido" (DoS Interno): Un empleado descontento bloquea un pequeño chatbot interno utilizado por 50 personas durante 2 horas.
- Medidor Viejo: Dice "Riesgo Medio" (es una interrupción estándar).
- ISVEX: Dice "Riesgo Bajo (1.3/10)" porque solo afectó a 50 personas y fue fácil de reparar. El medidor antiguo era demasiado alarmista aquí; ISVEX lo calma.

La Conexión con el "Red Teaming"

El artículo también explica cómo encontrar realmente estos riesgos. Sugiere usar Red Teaming de IA.

Piensa en el Red Teaming como contratar a un grupo de "hackers éticos" para intentar romper tu IA.
ISVEX actúa como la tarjeta de puntuación para estos hackers. En lugar de solo decir "Lo rompimos", el Red Team usa ISVEX para decir: "Lo rompimos con una puntuación de 8.5 porque engañamos a la IA para que revelara secretos".
Esto convierte las quejas vagas en números duros que los equipos de seguridad pueden usar para priorizar las correcciones.

La Conclusión

El artículo afirma que ISVEX es una actualización necesaria. Argumenta que ya no podemos usar la misma regla de seguridad para una tostadora que usamos para un robot autónomo. Al añadir preguntas específicas sobre el comportamiento de la IA, la comunicación de agentes y las consecuencias en el mundo real, ISVEX proporciona una forma más precisa, justa y accionable de medir el riesgo en la era de las máquinas inteligentes.

Resumen Técnico: ISVEX – Un Método para la Evaluación de la Exposición al Riesgo de Sistemas Inteligentes

1. Planteamiento del Problema

Los sistemas de Inteligencia Artificial (IA), que van desde los Modelos de Lenguaje Extensos (LLM) hasta los agentes autónomos y las arquitecturas multi-agente, han pasado de ser prototipos de investigación a entornos de producción. Sin embargo, los estándares existentes de evaluación de vulnerabilidades, específicamente CVSS v4.0 y OWASP AIVSS v0.5, carecen de las métricas específicas necesarias para cuantificar los riesgos inherentes a estos sistemas.

El documento identifica varias brechas críticas en los estándares actuales:

Vectores específicos de IA ausentes: No abordan la manipulación del modelo (inyección de prompts, jailbreaking), el envenenamiento de datos, los ataques adversarios y el robo de modelos.
Falta de diferenciación de autonomía: Tratan de forma idéntica a los chatbots pasivos y a los agentes autónomos (que pueden ejecutar código, invocar APIs y tomar decisiones), ignorando la "amplificación agéntica" donde un agente escala privilegios a través de múltiples herramientas.
Ceguera de protocolos: No tienen en cuenta las vulnerabilidades en los protocolos de comunicación entre agentes, como MCP (Model Context Protocol) y A2A (Agent-to-Agent).
Granularidad y contexto: No logran diferenciar la escala de la afectación (por ejemplo, 50 usuarios frente a 50 millones), ignoran la reversibilidad del daño y carecen de métricas para la detectabilidad de ataques y los impactos en cascada en sistemas interconectados.
Defectos de cálculo: AIVSS v0.5 utiliza una fórmula de media simple que diluye las puntuaciones críticas cuando uno de los componentes es bajo, y carece de suelos de impacto para asegurar que los sistemas críticos para la seguridad reciban calificaciones de severidad apropiadas.

2. Metodología: ISVEX

Los autores proponen ISVEX (Índice de Exposición de Vulnerabilidad de Sistemas Inteligentes), un método de puntuación de vulnerabilidades diseñado para capturar todo el espectro de los riesgos de la IA. El método se ofrece en dos alternativas: Strong (integral) y Lite (triaje rápido).

2.1 La Alternativa Strong

La versión Strong utiliza 38 métricas organizadas en 7 grupos y un flujo de cálculo de 8 pasos.

Grupos de Métricas:

Base – Explotabilidad (5 métricas): Heredadas de CVSS v4.0 (Vector de Ataque, Complejidad, Requisitos, Privilegios, Interacción del Usuario).
Base – Impacto (6 métricas): Heredadas de CVSS v4.0 (Confidencialidad, Integridad, Disponibilidad tanto para los sistemas vulnerables como para los sistemas subsiguientes).
AI-Core (6 métricas): Específicas del modelo, incluyendo Evasión de Comportamiento del Modelo (MBE), Integridad del Pipeline de Datos (DPI), Riesgo de Explicabilidad, Nivel de Autonomía, Robo de Modelo y Violación de Frontera de Confianza.
Agéntica y Protocolo (8 métricas): Específicas para agentes autónomos y protocolos, cubriendo Integridad de Herramientas y Canales (TCX), Interacción Multi-Agente, Automodificación, Planificación Orientada a Objetivos, Persistencia de Memoria, Identidad Dinámica, Protocolo de Comunicación Segura y No Determinismo. Estas utilizan una escala de 5 niveles (N/L/M/H/C).
AI-Extended (3 métricas): Calidad de los Datos de Entrenamiento, Detectabilidad e Impacto en Cascada.
Ambiental (6 métricas): Contexto organizacional, incluyendo requisitos de Confidencialidad/Integridad/Disponibilidad, Criticidad del Sistema de IA (ASC), Madurez del Exploit y Controles de Mitigación.
Modificadores Contextuales (4 métricas): Escala de Afectación, Reversibilidad, Impacto en la Gobernanza/Sociedad y Operacionalización del Ataque.

Flujo de Cálculo:

Explotabilidad e Impacto: Calculados mediante las fórmulas de CVSS v4.0.
Puntuación de IA: Computada como una suma ponderada de las métricas de AI-Core y Agéntica & Protocolo. Una innovación crítica es la regla del suelo del 85%: la puntuación final de la IA no puede caer por debajo del 85% de la métrica individual más alta, evitando que las vulnerabilidades críticas se diluyan con métricas de bajo riesgo.
Puntuación Combinada: Utiliza una fórmula de ponderación máxima ( $0.6 \times \text{máximo} + 0.4 \times \text{media}$ ) para combinar las puntuaciones Base, de IA y Ambientales. Esto evita el efecto de dilución de los promedios simples mientras retiene la información contextual.
Amplificación: Se aplican multiplicadores por criticidad (hasta $\times 2.0$ para sistemas críticos para la seguridad), ataques sigilosos e impactos en cascada.
Suelos de Impacto Graduados: Un conjunto de reglas (R1–R5) y bonificaciones (B1–B7) asegura que combinaciones específicas de alto riesgo (por ejemplo, sistemas críticos para la seguridad con compromiso de integridad) reciban una puntuación mínima (por ejemplo, 8.0), independientemente de la baja explotabilidad.
Puntuación Final: Se aplican multiplicadores contextuales (Escala, Reversibilidad, Gobernanza, Operacionalización), con un tope de 10.0.

2.2 La Alternativa Lite

Diseñada para Centros de Operaciones de Seguridad (SOC) y equipos de respuesta ante incidentes, ISVEX Lite reduce la evaluación a 12 métricas de alta discriminación (seleccionadas de la versión Strong). Utiliza una fórmula simplificada para producir una puntuación en aproximadamente tres minutos. La validación muestra que se desvía en $\pm 0.8$ puntos de la versión completa en el 80% de los casos, aunque puede subestimar el riesgo en escenarios multi-agente complejos.

3. Contribuciones Clave

El documento reclama las siguientes contribuciones primarias:

Arquitectura de Métricas Integral: Un marco de 38 métricas que cubre riesgos tradicionales de TI, riesgos de modelos específicos de IA y la emergente capa de "Agéntica y Protocolo" (MCP/A2A).
Lógica de Cálculo Novedosa:
- Una combinación de ponderación máxima (división 60/40) para evitar la dilución de la puntuación.
- Suelos de Impacto Graduados para garantizar la severidad mínima en escenarios críticos para la seguridad.
- Multiplicadores Contextuales para escalar las puntuaciones basadas en el impacto de usuarios, reversibilidad y contexto regulatorio.
Integración Operativa: Un protocolo formal que vincula las métricas de ISVEX con los marcos de Red Teaming de IA (HarmBench, garak, AutoRedTeamer, AART, MITRE ATLAS), permitiendo que los hallazgos de Red Team populen directamente los valores de las métricas.
Utilidad de Doble Modo: Una versión "Lite" para triaje rápido y una versión "Strong" para un análisis exhaustivo.

4. Resultados y Validación

El método fue validado contra 10 escenarios hipotéticos que cubren un espectro de riesgo de 0 a 10, incluyendo inyección de prompts, ataques adversarios en la conducción autónoma, puertas traseras en la cadena de suministro, escalada de privilegios multi-agente y envenenamiento de datos.

Hallazgos Comparativos:

vs. AIVSS v0.5: En 9 de 10 escenarios, ISVEX obtuvo una puntuación superior a AIVSS, con un incremento medio de +2.3 puntos en escenarios de alto riesgo. El mayor delta fue de +3.4 puntos en un escenario de escalada de privilegios multi-agente, atribuido a las métricas de protocolo específicas de ISVEX y sus suelos de impacto.
vs. CVSS v4.0: CVSS subestimó consistentemente los riesgos específicos de la IA, calificándolos a menudo como "Medio" cuando ISVEX los calificó como "Alto" o "Crítico". Por el contrario, en un escenario de bajo impacto (DoS en un chatbot interno con 50 usuarios), ISEX puntuó 2.7 puntos por debajo de CVSS, demostrando su capacidad para reducir el riesgo cuando el contexto (reversibilidad, escala pequeña) lo justifica.
Precisión: El método logró diferenciar con éxito entre escenarios que los estándares anteriores trataban de forma idéntica (por ejemplo, distinguiendo una filtración de un chatbot pasivo de una escalada de un agente autónomo).

5. Significación y Reivindicaciones

Los autores posicionan a ISVEX como una evolución necesaria en la gestión de vulnerabilidades para la era de la IA autónoma. El documento afirma que:

Los estándares actuales son insuficientes: CVSS y AIVSS carecen de la granularidad y las métricas específicas para cuantificar los riesgos únicos de la manipulación de modelos y la autonomía de los agentes, así como de los ataques a nivel de protocolo.
ISVEX cierra la brecha: Al incorporar métricas específicas para el comportamiento agéntico y los protocolos de comunicación, y al utilizar un flujo de cálculo que evita que los riesgos críticos se diluyan, ISVEX proporciona un reflejo más preciso del riesgo real de la IA.
Relevancia Operativa: El método está diseñado para ser accionable, vinculándose directamente con los resultados de Red Teaming y los flujos de trabajo de seguridad existentes (SIEM, sistemas de tickets), y ofreciendo una opción de triaje rápido para entornos con limitaciones de tiempo.

El documento concluye que ISVEX ofrece un enfoque más preciso, escalable y consciente del contexto para la evaluación de riesgos, capaz de manejar todo el espectro de amenazas modernas de la IA, desde herramientas internas de bajo impacto hasta sistemas autónomos críticos para la seguridad.