c1.10 Habilita detección de amenazas consciente de IA
Vigila continuamente la actividad de API anómala y los patrones de abuso alrededor de tus cargas de inferencia y agrega los hallazgos de forma central.
Guía de implementación
Cómo implementarlo en AWS
Habilita Amazon GuardDuty para detectar actividad anómala de API y credenciales, y agrega los hallazgos en AWS Security Hub. Usa GuardDuty Malware Protection para S3 para escanear archivos subidos por usuarios que las cargas de IA procesan.
Criterios de aceptación
GuardDuty está habilitado y reporta a Security Hub; el escaneo de malware cubre los buckets de subida de usuarios; un hallazgo de prueba dispara tu flujo de respuesta.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
GuardDuty corre en toda la organización desde el administrador delegado en Herramientas de seguridad, vigilando las cuentas de IA generativa y de aplicación y agregando los hallazgos en Security Hub.
- Habilita Amazon GuardDuty en toda la organización desde el administrador delegado en la cuenta de Herramientas de seguridad, cubriendo las cuentas de IA generativa y de aplicación.Herramientas de seguridad
GuardDuty 
AWS Organizations - Activa GuardDuty Malware Protection para S3 en los buckets que reciben archivos subidos por usuarios que la carga de IA procesa.Cuenta de IA generativa GuardDuty
Amazon S3 - Agrega los hallazgos en AWS Security Hub y enruta los de alta severidad a tu flujo de respuesta vía EventBridge.Herramientas de seguridad
Security Hub
Cómo validar: GuardDuty está habilitado en toda la org y reporta a Security Hub; el escaneo de malware cubre los buckets de subida; un hallazgo de prueba dispara el flujo de respuesta.
Evita: Habilitar GuardDuty en una sola cuenta. Actívalo en toda la org desde el administrador delegado para que las cuentas de IA queden cubiertas y los hallazgos aterricen en un solo lugar.
GuardDuty y Security Hub corren en la única cuenta, con escaneo de malware en los buckets de subida de usuarios y hallazgos cableados a un flujo de respuesta.
- Habilita Amazon GuardDuty en la cuenta para detectar actividad anómala de API y credenciales.Registro en la cuenta GuardDuty
- Activa GuardDuty Malware Protection para S3 en los buckets que contienen archivos subidos por usuarios.Registro en la cuenta GuardDuty Amazon S3
- Agrega los hallazgos en Security Hub y alerta ante los de alta severidad.Registro en la cuenta Security Hub
Cómo validar: GuardDuty reporta a Security Hub; el escaneo de malware cubre los buckets de subida; un hallazgo de prueba dispara tu alerta.
Evita: Posponer la detección de amenazas para 'después'. Habilita GuardDuty desde el inicio; es sin agente y de bajo costo, y la carga de IA es un objetivo atractivo.
Amenazas que atiende
- Patrones anómalos de invocación o de uso de credenciales que pasan desapercibidos.
- Intentos de abuso de recursos o exfiltración entre cuentas.
Servicios AWS
Amazon GuardDuty AWS Security Hub Mapeos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
- LLM06 Unbounded Consumption
NIST AI Risk Management Framework (AI 100-1)
- MEASURE.3 Mechanisms for tracking AI risks are in place
- MANAGE.4 Risk treatments, monitoring and response are documented and applied
AWS Well-Architected Generative AI Lens (Security)
- GENSEC03-BP01 Implement control plane and data access monitoring
Recursos de aprendizaje
Referencias
- AWS SRA para IA — Capacidad 1, Cuenta de inferencia de IA