La manipulación de la cadena de suministro (Supply Chain Tampering) en los sistemas de inteligencia artificial representa una amenaza crítica para las organizaciones que desarrollan o utilizan modelos de IA. Se pueden introducir modificaciones no autorizadas en cualquier etapa del ciclo de vida: desde la canalización (pipeline) de datos hasta el proceso de entrenamiento, pasando por las dependencias de software, los contenedores y los entornos en la nube utilizados para el despliegue.

Este artículo forma parte del capítulo AI Infrastructure Testing de la Guía de Pruebas de IA de OWASP.

Las consecuencias incluyen comportamientos maliciosos del modelo, degradación del rendimiento, acceso no autorizado a los datos o la vulneración de toda la infraestructura de IA. Proteger la integridad de la cadena de suministro es fundamental para garantizar la seguridad, la fiabilidad y el cumplimiento normativo.

Objetivos de la prueba

Una prueba de seguridad eficaz debe perseguir tres objetivos principales:

• Identificar vulnerabilidades que permitan el acceso o modificaciones no autorizadas en la cadena de suministro de IA.
• Detectar alteraciones no autorizadas en el ciclo de vida del modelo: entrenamiento, despliegue y actualizaciones.
• Garantizar la integridad y autenticidad en toda la canalización de despliegue de IA.

Metodología y carga útil (payload)

Envenenamiento de dependencias (Dependency poisoning)

Las dependencias de software representan uno de los vectores de ataque más comunes. El análisis automatizado de las dependencias del proyecto (archivos como requirements.txt, package.json) mediante herramientas de Análisis de Composición de Software (SCA) permite identificar librerías comprometidas u obsoletas.

Indicación de vulnerabilidad: las dependencias con vulnerabilidades de nivel ALTO o CRÍTICO señalan la posibilidad de explotación mediante librerías de terceros.

Manipulación de contenedores e imágenes

Las imágenes de Docker y los contenedores utilizados para distribuir los modelos de IA pueden contener vulnerabilidades en los paquetes del sistema o en las librerías incluidas. El escaneo de imágenes debe integrarse en el proceso de despliegue.

Indicación de vulnerabilidad: vulnerabilidades críticas en los paquetes del sistema o librerías de la imagen, potencialmente explotables en tiempo de ejecución para comprometer el entorno de ejecución.

Manipulación de la canalización CI/CD (CI/CD pipeline tampering)

La canalización de integración y despliegue continuo es un objetivo privilegiado para los atacantes. El análisis debe verificar la configuración en busca de errores: secretos codificados (hardcoded), controles de acceso insuficientes o uso de recursos de fuentes no confiables.

Indicación de vulnerabilidad: la canalización puede sufrir modificaciones no autorizadas, contener credenciales en texto plano o utilizar artefactos no firmados durante el proceso de compilación (build).

Resultado esperado

Una infraestructura de IA segura debe implementar controles automatizados que garanticen:

• Rechazo automático de dependencias vulnerables: la canalización CI/CD debe bloquear automáticamente las compilaciones si se detectan vulnerabilidades ALTAS o CRÍTICAS en las dependencias.
• Integridad de las imágenes de contenedor: todas las imágenes de producción deben ser escaneadas, firmadas digitalmente y verificadas antes del despliegue. El despliegue debe bloquearse si existen vulnerabilidades críticas.
• Seguridad de la canalización: implementación de un control de acceso basado en roles (RBAC) riguroso, prevención de modificaciones no autorizadas y mantenimiento de registros de auditoría (audit logs) inmutables sobre todas las actividades de compilación y despliegue.

Acciones de remediación

Gestión de dependencias

Implementar herramientas de gestión de dependencias e integrar escaneos SCA automáticos en la canalización CI/CD. Las compilaciones con vulnerabilidades conocidas deben bloquearse automáticamente. Mantener un inventario actualizado de todas las dependencias utilizadas.

Impacto esperado: reducción del riesgo de explotación mediante librerías comprometidas y mayor visibilidad sobre las dependencias utilizadas en producción.

Endurecimiento (Hardening) de contenedores

Utilizar imágenes de contenedor minimalistas provenientes de registros confiables. Implementar la firma digital de las imágenes y verificar las firmas dentro del tiempo de ejecución del contenedor. Reducir la superficie de ataque eliminando componentes innecesarios.

Impacto esperado: protección del entorno de ejecución frente a vulnerabilidades conocidas y prevención del uso de imágenes no autorizadas.

Seguridad de la canalización CI/CD

Aplicar el principio de privilegio mínimo a todos los trabajos y usuarios de la canalización. Almacenar todos los secretos en bóvedas (vaults) seguras dedicadas. Adoptar infraestructuras inmutables y configuraciones de compilación versionadas para prevenir manipulaciones no autorizadas.

Impacto esperado: prevención de modificaciones no autorizadas en la canalización y protección de credenciales sensibles frente a exposiciones accidentales.

Lista de materiales de software (SBOM)

Generar automáticamente una lista de materiales de software (Software Bill of Materials – SBOM) para cada compilación, documentando todos los componentes y dependencias. La SBOM es fundamental para la gestión de vulnerabilidades, el cumplimiento normativo y una respuesta eficaz ante incidentes.

Impacto esperado: trazabilidad completa de los componentes utilizados y capacidad de respuesta rápida en caso de vulnerabilidades descubiertas en las dependencias.

Herramientas sugeridas

• Trivy: escáner de vulnerabilidades para contenedores y dependencias.
• Syft: generación automática de SBOM.
• Grype: escáner de vulnerabilidades para imágenes de contenedor y sistemas de archivos.
• Snyk: plataforma de seguridad para dependencias y contenedores.
• Cosign: firma y verificación de imágenes de contenedor.

Información adicional

ISGroup ofrece servicios especializados para proteger la integridad de la cadena de suministro de IA a través del servicio Secure Architecture Review. Nuestro equipo de expertos evalúa en profundidad las infraestructuras de IA complejas, identifica vulnerabilidades en la cadena de suministro y proporciona recomendaciones concretas para implementar controles de seguridad eficaces.

La evaluación cubre toda la canalización: desde la gestión de dependencias hasta la seguridad de los contenedores, desde la configuración de CI/CD hasta la generación de SBOM, garantizando que cada componente cumpla con los estándares de seguridad más elevados.

Para una protección completa del ciclo de desarrollo de software, el servicio Software Assurance Lifecycle integra controles de seguridad continuos en las versiones, asegurando que cada fase del ciclo de vida del software cumpla con las mejores prácticas de seguridad.

• ¿Qué es la manipulación de la cadena de suministro en sistemas de IA?
• La manipulación de la cadena de suministro de IA consiste en modificaciones no autorizadas introducidas en cualquier etapa del ciclo de desarrollo o distribución de un modelo de IA: desde la canalización de datos hasta el entrenamiento, pasando por las dependencias de software, los contenedores y los entornos en la nube. Estas modificaciones pueden comprometer la seguridad, la fiabilidad y el cumplimiento del sistema.
• ¿Cuáles son los principales vectores de ataque en la cadena de suministro de IA?
• Los principales vectores incluyen: envenenamiento de dependencias (librerías comprometidas), manipulación de contenedores e imágenes (vulnerabilidades en imágenes de Docker) y manipulación de la canalización CI/CD (modificaciones no autorizadas en la canalización de despliegue). Cada uno de estos vectores puede ser explotado para introducir comportamientos maliciosos o acceder a datos sensibles.
• ¿Cómo se protege la cadena de suministro de IA frente a vulnerabilidades?
• La protección requiere un enfoque multinivel: escaneos automáticos de dependencias con herramientas SCA, firma digital y verificación de imágenes de contenedor, implementación de RBAC riguroso en la canalización CI/CD, generación automática de SBOM para cada compilación y registros de auditoría inmutables sobre todas las actividades de compilación y despliegue.
• ¿Qué es una lista de materiales de software (SBOM) y por qué es importante?
• Una SBOM es un inventario completo de todos los componentes y dependencias utilizados en una compilación de software. Es fundamental para la gestión de vulnerabilidades, el cumplimiento normativo y una respuesta eficaz ante incidentes, permitiendo identificar rápidamente qué sistemas están afectados por una vulnerabilidad descubierta en una dependencia.
• ¿Qué controles automatizados debería implementar una organización?
• Los controles esenciales incluyen: bloqueo automático de compilaciones con dependencias vulnerables (ALTAS o CRÍTICAS), escaneo y firma digital obligatoria de imágenes de contenedor antes del despliegue, RBAC riguroso en todos los trabajos de la canalización, bóvedas seguras para la gestión de secretos y configuraciones de compilación versionadas e inmutables.
• ¿Cómo se detectan las modificaciones no autorizadas en la canalización CI/CD?
• Las modificaciones no autorizadas se detectan mediante: registros de auditoría inmutables que rastrean todas las actividades, verificación de la integridad de los artefactos mediante firma digital, controles automáticos sobre la configuración de la canalización, monitoreo de cambios en permisos y accesos, y análisis periódico de configuraciones para identificar secretos codificados o recursos de fuentes no confiables.

Referencias

• OWASP GenAI – Proyecto OWASP GenAI
• NIST – NIST AI 100-2e2025
• MITRE ATT&CK – Técnicas de compromiso de la cadena de suministro
• SPDX – Software Package Data Exchange

Artículos relacionados

• AI Data Testing: seguridad de los datos de entrenamiento
• Dev-Time Model Theft: proteger los modelos de IA
• Testing Poisoning Fine-tuning: validar la integridad del modelo

La integración de controles automatizados en dependencias, contenedores y canalizaciones CI/CD ayuda a prevenir modificaciones no autorizadas en la cadena de suministro de IA. Probar regularmente la integridad de la cadena de suministro es fundamental para garantizar la seguridad y fiabilidad de los sistemas de IA en producción.