La tokenización de los LLM
Un modelo de lenguaje lee fragmentos de texto, no frases. Qué implica para un empleado y qué trampas de seguridad existen.
En 30 segundos
- Dónde ocurre
- Cada vez que pega un texto, un nombre o un documento en un asistente de IA, o le pide que resuma una página.
- Qué quiere el atacante
- Que el modelo lea instrucciones que usted no ve, porque una inyección de instrucciones puede ser imperceptible para una persona2.
- El reflejo
- El reflejo: formular instrucciones precisas, comprobar cifras y citas en la fuente y no pegar nunca datos sensibles en una herramienta no validada.
- Si ya lo ha hecho
- Avise a su equipo de seguridad e indique la herramienta utilizada y el tipo de datos pegados.
De qué se trata
Al escribir a un asistente de IA, parece que lee frases como lo haría un compañero de trabajo. Las investigaciones en las que se apoya esta ficha describen un funcionamiento distinto: las palabras raras se codifican como secuencias de unidades más pequeñas que la palabra, que aquí se llaman fragmentos (o tokens)1.
Esta ficha explica la idea en términos sencillos y después indica qué puede sacar de ella el empleado para formular sus peticiones, comprobar las respuestas y evitar algunas trampas de seguridad. Las fuentes del expediente describen la segmentación del texto y los ataques mediante texto desconcertante. No miden el coste de un intercambio ni el tamaño de la ventana de contexto de un producto concreto, de modo que esos puntos no se tratan aquí.
Preguntas directas
¿Lee un modelo de lenguaje las palabras tal como las escribimos?
No tal cual. En 2015, unos investigadores describieron, para la traducción automática, modelos que trabajan con un vocabulario fijo, aunque traducir es un problema de vocabulario abierto1. Su solución consiste en codificar las palabras raras o desconocidas como secuencias de unidades más pequeñas que la palabra1.
¿Cómo se divide el texto?
Los autores de 2015 comparan varias técnicas de segmentación, entre ellas modelos sencillos de secuencias de caracteres y una segmentación basada en el algoritmo de compresión «byte pair encoding»1. Miden una mejora de 1,1 puntos de BLEU del inglés al alemán y de 1,3 del inglés al ruso, frente a un método de respaldo basado en diccionario1.
¿Depende del idioma?
La herramienta SentencePiece, presentada en 2018 por Taku Kudo y John Richardson, se describe como un segmentador de subunidades independiente del idioma3. Aprende sus unidades directamente a partir de frases sin procesar, mientras que las herramientas existentes suponían un texto ya dividido en palabras3. Se publica como código abierto con licencia Apache 23. Las fuentes citadas aquí no miden hasta qué punto un idioma está peor atendido que otro: esa cuestión queda abierta aquí.
¿Por qué plantea problemas un nombre raro o una palabra inventada?
La intuición del artículo de 2015 es que los nombres propios, las palabras compuestas y los préstamos se traducen mejor por partes que como palabras enteras1. Las palabras raras se codifican en subunidades1. La relación con los errores en nombres raros es una interpretación de esta ficha, no un resultado medido en las fuentes.
¿Tienen los modelos límites conocidos?
El modelo GPT-3, presentado en 2020 con 175 000 millones de parámetros, recibe sus tareas y sus ejemplos únicamente como texto4. Sus autores señalan que resuelve tareas como reordenar palabras o hacer sumas de tres cifras, pero también que sigue teniendo dificultades con algunos conjuntos de datos4. Un resultado correcto una vez no garantiza, por tanto, un resultado correcto la vez siguiente.
1Cómo funciona1 min
Las fuentes dan el principio siguiente. El modelo trabaja con un vocabulario de tamaño fijo1. Las palabras raras se reconstruyen a partir de varias unidades1. La herramienta de segmentación puede entrenarse con texto sin procesar, sin división previa en palabras3.
Las instrucciones pasan por el mismo canal que los datos. En el estudio sobre GPT-3, las tareas y los ejemplos se «specified purely via text interaction with the model»4. Según OWASP, la inyección de instrucciones designa entradas que modifican el comportamiento del modelo de forma no prevista, aunque sean imperceptibles para una persona, siempre que el modelo las lea2. Relacionar ambos puntos es una interpretación de esta ficha, no una afirmación de OWASP.
2Qué hace usted2 min
Formular instrucciones claras. Indique el papel esperado, la tarea y el formato de la respuesta. OWASP recomienda a los diseñadores de sistemas precisar el papel, las capacidades y los límites del modelo, y definir un formato de salida claro2. El empleado puede aplicar ese mismo espíritu en sus peticiones.
Pedir fuentes y luego comprobarlas. OWASP aconseja pedir un razonamiento detallado y citas de fuentes, y validar el resultado con código determinista2. Para un empleado, eso se traduce en una comprobación manual: abrir la fuente citada, volver a leer la cifra y verificar que la cita existe palabra por palabra. Los propios autores de GPT-3 señalan conjuntos de datos con los que el modelo sigue teniendo dificultades4.
Mantener el control de las acciones importantes. OWASP recomienda la aprobación humana para las operaciones con privilegios, a fin de impedir acciones no autorizadas2. No deje que un asistente envíe un mensaje ni modifique un archivo sin revisión.
No pegar datos sensibles. OWASP incluye la divulgación de información sensible entre las posibles consecuencias de una inyección de instrucciones2. El NCSC británico apunta a sistemas de IA que funcionen sin revelar datos sensibles a terceros no autorizados5. En la empresa, aplique la norma de su organización sobre las herramientas autorizadas.
Separar el contenido externo de sus instrucciones. Cuando el asistente resume una página web o un archivo recibido, ese contenido puede incluir instrucciones ocultas2. OWASP aconseja separar y señalar claramente el contenido no fiable2.
3Las trampas2 min
El texto invisible o desconcertante. Según OWASP, una inyección de instrucciones no necesita ser legible para una persona, siempre que el modelo lea el contenido2. En un escenario que describe, un usuario hace resumir una página web con instrucciones ocultas: el modelo inserta una imagen vinculada a una dirección y la conversación privada se exfiltra2.
Las cadenas de caracteres sin sentido. OWASP describe a un atacante que añade a una petición una secuencia de caracteres de apariencia absurda. Esa secuencia influye en la respuesta y elude las protecciones2. La investigación ofrece una versión automatizada: un sufijo adversarial hallado con técnicas de búsqueda voraces y basadas en el gradiente6.
Los idiomas mezclados y las codificaciones. OWASP cita también al atacante que emplea varios idiomas o codifica sus instrucciones, por ejemplo en Base64 o con emojis, para escapar a los filtros2.
Los archivos trampa. En otro escenario de OWASP, un currículum contiene instrucciones fragmentadas. Cuando un modelo evalúa la candidatura, los fragmentos se combinan y producen una recomendación positiva a pesar del contenido real del currículum2. En un tercero, un documento modificado en un repositorio utilizado por una aplicación de generación aumentada por recuperación falsea los resultados2.
Las protecciones imperfectas. OWASP precisa que la generación aumentada por recuperación y el ajuste fino no eliminan por completo las inyecciones de instrucciones2. Considera también incierto que exista un método de prevención infalible2. El NCSC recuerda que los sistemas de IA tienen vulnerabilidades nuevas, que hay que tratar además de las amenazas clásicas5. El NIST publicó en enero de 2024 una taxonomía de los ataques al aprendizaje automático, con un glosario dirigido a lectores no expertos7.
4Casos reales1 min
Julio de 2023: un sufijo que funciona en varios asistentes
El 27 de julio de 2023, Andy Zou y sus coautores, entre ellos Nicholas Carlini, presentan un método que produce automáticamente un sufijo para añadir a una petición6. Ese sufijo busca maximizar la probabilidad de que el modelo responda de forma afirmativa en lugar de negarse6. Entrenado con varias peticiones y con dos modelos (Vicuna-7B y 13B), provoca también contenidos indeseables en las interfaces públicas de ChatGPT, Bard y Claude, así como en modelos abiertos como LLaMA-2-Chat, Pythia y Falcon6.
Ficha
- Identificador
- CP-258
- Ala
- 4. Inteligencia artificial
- Competencia Brain
- Entender la IA (understand_ai)
- Reflejo Brain
- air-005
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- arXiv, «Neural Machine Translation of Rare Words with Subword Units», 31 de agosto de 2015. https://arxiv.org/abs/1508.07909 (consultado el 3 de noviembre de 2026)
- OWASP, «LLM01:2025 Prompt Injection», 10 de abril de 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado el 3 de noviembre de 2026)
- arXiv, «SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing», 19 de agosto de 2018. https://arxiv.org/abs/1808.06226 (consultado el 3 de noviembre de 2026)
- arXiv, «Language Models are Few-Shot Learners», 28 de mayo de 2020. https://arxiv.org/abs/2005.14165 (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Guidelines for secure AI system development», 27 de noviembre de 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consultado el 3 de noviembre de 2026)
- arXiv, «Universal and Transferable Adversarial Attacks on Aligned Language Models», 27 de julio de 2023. https://arxiv.org/abs/2307.15043 (consultado el 3 de noviembre de 2026)
- NIST, «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». https://csrc.nist.gov/pubs/ai/100/2/e2023/final (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «La tokenización de los LLM», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp258_es_2026,
author = {Brain},
title = {La tokenización de los LLM},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/tokenizacion-llm-fragmentos/},
note = {CC BY 4.0}
}