{"id":924,"date":"2026-05-12T06:00:00","date_gmt":"2026-05-12T04:00:00","guid":{"rendered":"https:\/\/rosmarops.com\/?p=924"},"modified":"2026-10-25T10:17:58","modified_gmt":"2026-10-25T09:17:58","slug":"silencio-como-vector-ddos-que-ensenan-a-los-llms-a-olvidar","status":"publish","type":"post","link":"https:\/\/rosmarops.com\/es\/blog\/silencio-como-vector-ddos-que-ensenan-a-los-llms-a-olvidar\/","title":{"rendered":"Silencio como vector: DDoS que ense\u00f1an a los LLMs a olvidar"},"content":{"rendered":"

Hay un tipo de ataque que no rompe nada. No cifra archivos, no exfiltra credenciales, no deja logs con firmas reconocibles. Su objetivo no es tumbar un sistema sino hacer que ese sistema nunca llegue a ver cierto contenido. Y en la era en que los LLMs aprenden del mundo que consumen, esa ausencia tiene un nombre: manipulaci\u00f3n por silencio<\/a>.<\/p>\n

La premisa t\u00e9cnica es m\u00e1s sencilla de lo que parece. Los grandes modelos de lenguaje, tanto en su fase de preentrenamiento como en los sistemas RAG que los alimentan en producci\u00f3n, dependen de que ciertos contenidos sean accesibles en momentos espec\u00edficos. Los crawlers de OpenAI, Anthropic, Google o los pipelines de recuperaci\u00f3n de sistemas empresariales visitan fuentes, indexan documentos, actualizan vectores. Si en ese intervalo cr\u00edtico el origen est\u00e1 inaccesible, el contenido no existe para el modelo. No es que se elimine: es que nunca llega a ser representado.<\/p>\n

Un DDoS selectivo, dirigido no a destruir sino a saturar un dominio durante las ventanas de crawling conocidas, consigue exactamente eso. Y lo m\u00e1s relevante desde el punto de vista defensivo: no deja una firma de ataque convencional en el destino. El sitio cae por carga. El crawler recibe un timeout o un 503. El pipeline de ingesti\u00f3n descarta la fuente o la marca como temporalmente no disponible. El resultado es invisibilidad en el corpus.<\/p>\n

El ataque que nadie atribuye<\/strong><\/h2>\n

Los equipos de seguridad est\u00e1n entrenados para detectar DDoS volum\u00e9tricos cl\u00e1sicos: picos de tr\u00e1fico, agotamiento de recursos, anomal\u00edas de red. Pero un ataque dise\u00f1ado para interrumpir el acceso de un bot espec\u00edfico \u2014el Googlebot, el GPTBot de OpenAI, el crawler de Common Crawl\u2014 no necesita ser masivo. Necesita ser preciso y temporizado.<\/p>\n

Common Crawl, que alimenta indirectamente buena parte del preentrenamiento de modelos abiertos, realiza sus rastreos en oleadas documentadas. GPTBot tiene User-Agent conocido y su comportamiento de crawling es en parte predecible. Un atacante que combine esta informaci\u00f3n con ataques de baja intensidad dirigidos a ventanas de indexaci\u00f3n puede crear ausencias sistem\u00e1ticas sin activar ning\u00fan umbral de alerta cl\u00e1sico. El paper Poisoning Web-Scale Training Datasets is Practical<\/em><\/a> (Carlini et al., 2023, ) ya demostr\u00f3 que manipular una fracci\u00f3n peque\u00f1a del corpus de entrenamiento tiene efectos desproporcionados sobre el comportamiento del modelo. La variante silenciosa no envenena: simplemente vac\u00eda.<\/p>\n

RAG como superficie m\u00e1s inmediata<\/strong><\/h2>\n

Si el preentrenamiento es el vector de largo plazo, los sistemas RAG son el vector operativo. Cuando una organizaci\u00f3n despliega un asistente basado en recuperaci\u00f3n aumentada, ese sistema actualiza su base de conocimiento de forma peri\u00f3dica. Documentos t\u00e9cnicos, bases de conocimiento internas, fuentes externas de referencia. Si una fuente cr\u00edtica est\u00e1 inaccesible durante el ciclo de actualizaci\u00f3n, el modelo responde con versiones obsoletas o simplemente no responde con esa informaci\u00f3n.<\/p>\n

El equipo de investigaci\u00f3n de Wiz document\u00f3 en 2024 c\u00f3mo las disrupciones en pipelines de ingesti\u00f3n de datos en sistemas RAG empresariales pueden generar respuestas degradadas sin que el sistema de monitorizaci\u00f3n detecte un fallo activo. No es un fallo del modelo: es un fallo de alimentaci\u00f3n. La diferencia importa porque los controles de calidad del LLM no capturan este tipo de degradaci\u00f3n.<\/p>\n

El olvido selectivo como estrategia competitiva<\/strong><\/h2>\n

Aqu\u00ed es donde el \u00e1ngulo de AI SEO adversarial se vuelve inc\u00f3modo. Si un competidor o un actor con intenci\u00f3n de manipular el ecosistema informativo sabe que cierta fuente de referencia actualiza su contenido los martes, y que el crawler del sistema RAG objetivo visita esa fuente los mi\u00e9rcoles, tiene una ventana. Un ataque de baja intensidad de 12 horas es suficiente para que la actualizaci\u00f3n no llegue al modelo. La fuente que iba a corregir una narrativa, que iba a introducir nuevos datos, que iba a desplazar una respuesta err\u00f3nea, simplemente no llega.<\/p>\n

El resultado no es un LLM con contenido envenenado sino un LLM con contenido congelado. Y un modelo que no actualiza su representaci\u00f3n de un tema se convierte, sin saberlo, en amplificador de la versi\u00f3n anterior de la realidad. No hay firma, no hay contenido malicioso insertado, no hay nada que analizar en el modelo. La ausencia no deja rastro forense porque nunca ocurri\u00f3 nada: sencillamente, una cosa dej\u00f3 de pasar.<\/p>\n

Lo que no se indexa no se defiende<\/strong><\/h2>\n

Los mecanismos de defensa actuales contra manipulaci\u00f3n de LLMs est\u00e1n orientados casi en exclusiva hacia la inyecci\u00f3n: contenido que entra, prompts adversariales, datos envenenados con se\u00f1ales falsas. La literatura sobre data poisoning<\/em>, desde los trabajos de Tran et al. hasta los m\u00e1s recientes sobre backdoor attacks<\/em>, asume que el ataque introduce algo. La variante por silencio no introduce nada. Explota la diferencia entre lo que el modelo sabe y lo que deber\u00eda saber, sin tocar el modelo.<\/p>\n

Eso plantea una pregunta para la que la industria todav\u00eda no tiene respuesta operativa clara: \u00bfc\u00f3mo auditas la ausencia? \u00bfC\u00f3mo sabes lo que tu sistema de recuperaci\u00f3n dej\u00f3 de ver, y cu\u00e1ndo, y por qu\u00e9?<\/p>\n","protected":false},"excerpt":{"rendered":"

C\u00f3mo la denegaci\u00f3n de servicio selectiva elimina contenido del ciclo de entrenamiento y recuperaci\u00f3n de LLMs sin dejar rastro detectable.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4,70],"tags":[75,85,100,153,212,264],"class_list":["post-924","post","type-post","status-publish","format-standard","hentry","category-ai-seo","category-seo-adversarial","tag-bots-ciberseguridad-inteligenciaartificial-seo-automatizacion-desarrollodeboiaconversacionalscraping-ddos","tag-ai-seo","tag-ataques-sobre-llms","tag-envenenamiento-de-datos","tag-manipulacion-informativa","tag-seguridad-agentes-ia"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/924","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=924"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/924\/revisions"}],"predecessor-version":[{"id":975,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/924\/revisions\/975"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=924"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=924"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=924"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}