Seguridad estructural de la IA: el imperativo de la gobernanza del espacio latente en el biodiseño generativo de alto riesgo

Resumen ejecutivo

La floreciente era de la inteligencia artificial (IA) generativa ha inaugurado un cambio de paradigma en el descubrimiento científico, particularmente en los sectores farmacéutico y biotecnológico. La capacidad de los modelos de aprendizaje profundo para explorar vastas regiones del espacio químico y proponer nuevos candidatos terapéuticos ha comprimido los plazos del descubrimiento de fármacos de años a semanas. Sin embargo, esta capacidad transformadora posee una sombra inherente: el «doble uso» dilema. Las mismas arquitecturas algorítmicas diseñadas para identificar curas que salvan vidas pueden, con una modificación trivial, reutilizarse para diseñar agentes bioquímicos altamente letales. El seminal experimento del «interruptor invertido» realizado por Collaborations Pharmaceuticals, en el que un modelo generativo optimizado para la toxicidad generó 40,000 potenciales armas químicas—incluidos el agente nervioso VX y análogos novedosos—en menos de seis horas, constituye un testimonio irrefutable de este riesgo. ¹

Este whitepaper, preparado para Veriprajna, sostiene que el estándar actual de la industria para la seguridad de la IA—a menudo caracterizado por «envoltorios LLM» que se basan en la ingeniería de prompts y el filtrado de texto a posteriori—es fundamentalmente insuficiente para dominios de alto riesgo. Estas de superficie salvaguardas no abordan la realidad geométrica del espacio latente del modelo, donde las capacidades tóxicas y terapéuticas existen en una variedad continua, a menudo entrelazada. Los filtros basados en texto son ciegos a la semántica estructural de la química y vulnerables a perturbaciones adversarias, dejando a las organizaciones expuestas a riesgos regulatorios, reputacionales y existenciales catastróficos.

Veriprajna introduce un nuevo estándar para la IA empresarial: gobernanza del espacio latente . Al desplazar el locus de control de la capa de salida a las estructuras latentes de alta dimensión del propio modelo, habilitamos una forma de «seguridad estructural de la IA». Este enfoque utiliza restricciones topológicas, mapeo de variedades y aprendizaje por refuerzo con restricciones para imposibilitar matemáticamente la generación de salidas dañinas. Este documento ofrece un análisis exhaustivo de las deficiencias técnicas de las metodologías actuales, explora la topología de la toxicidad y detalla los principios arquitectónicos de las soluciones de IA profunda que aseguran el cumplimiento de los emergentes estándares rigurosos como el NIST AI Risk Management Framework e ISO 42001.

1. El horizonte de doble uso: el «interruptor invertido» y la democratización de la letalidad

La convergencia de la inteligencia artificial y la biología molecular ha prometido desde hace tiempo una revolución en el descubrimiento de fármacos. Sin embargo, la dualidad inherente de esta tecnología—donde la capacidad de curar es matemáticamente adyacente a la capacidad de dañar—ha pasado de un riesgo teórico debatido en círculos académicos a una realidad operativa demostrada. La barrera de entrada para el diseño de armas químicas sofisticadas se ha reducido drásticamente, no por la proliferación de materiales físicos, sino por la democratización de la inteligencia computacional necesaria para diseñarlas.

1.1 El experimento MegaSyn: un caso de estudio de doble uso algorítmico

En preparación para la conferencia Spiez Convergence, un evento bienal de control de armamentos organizado por la Oficina Federal Suiza de Protección Civil, investigadores de Collaborations Pharmaceuticals llevaron a cabo un experimento de prueba de concepto para evaluar el potencial de uso indebido de la IA. ² El equipo utilizó un modelo generativo comercial, MegaSyn, originalmente diseñado para predecir la bioactividad y generar candidatos terapéuticos novedosos para enfermedades raras y desatendidas.

La metodología empleada fue inquietantemente simple, lo que pone de relieve la accesibilidad de este vector de amenaza. El modelo generativo estaba impulsado por una función de puntuación que penalizaba la toxicidad y recompensaba la eficacia terapéutica. Para «invertir el interruptor», los investigadores invirtieron la función de recompensa. En lugar de penalizar la toxicidad, se instruyó al modelo para maximizarla, apuntando específicamente al perfil de letalidad del VX, uno de los agentes nerviosos más potentes conocidos. ¹

Los resultados se generaron en menos de seis horas en un servidor estándar de grado de consumo, utilizando un conjunto de datos y una arquitectura ampliamente comprendidos en la comunidad de quimioinformática:

Tabla 1: Resultados del experimento del «interruptor invertido»

Métrica	Resultado	Contexto
Tiempo de generación	< 6 horas	Realizado en hardware (Mac/Linux servidor), lo que demuestra una baja barrera de cómputo.
Volumen de salida	40,000 moléculas	Una biblioteca masiva de candidatos potenciales generados a una velocidad que los químicos humanos no pueden igualar.
Perfil objetivo	VX (agente nervioso)	El modelo redescubrió con éxito el VX y otros

Col1	Col2	conocidos de las series G y agentes nerviosos de la serie V.
Letalidad	> potencia del VX	Un subconjunto significativo de moléculas se predijo que serían más tóxicas que el VX.
Novedad	Alta	Miles de compuestos eran novedosos y no aparecían en ninguna base de datos pública ni lista de vigilancia gubernamental.

Este experimento no requirió un superordenador ni un actor estatal hostil con millones de financiación. Utilizó conjuntos de datos de código abierto (como ChEMBL), arquitecturas generativas estándar (modelos basados en RNN y LSTM) y una comprensión comercialmente disponible de la predicción de toxicidad. ⁵ Las implicaciones son profundas: la barrera de entrada para diseñar agentes bioquímicos de alta letalidad se ha reducido al coste de una GPU de consumo y un conocimiento básico de Python. El modelo de IA, entrenado para comprender las «reglas» de la toxicidad para evitarlas, poseía inherentemente el conocimiento para explotarlas. ³

1.2 La arquitectura de la vulnerabilidad

Para comprender por qué esta «inversión» fue tan fluida, hay que examinar la arquitectura subyacente de modelos como MegaSyn. El modelo utilizó una arquitectura de red neuronal recurrente (RNN) entrenada con cadenas SMILES (Simplified Molecular Input Line Entry System). El sistema operaba con un algoritmo de «ascenso de colina», refinando iterativamente los candidatos moleculares para maximizar una función objetivo específica. ⁵

El ciclo generativo implica tres componentes críticos:

1.​ El generador: Una red basada en LSTM que predice el siguiente token en una cadena SMILES (p. ej., 'C', 'N', '=', 'O') para formar estructuras químicamente válidas. Aprende la «gramática» de la química a partir de conjuntos de datos masivos como ChEMBL 28. ⁵

2.​ El predictor: Un modelo discriminativo (o conjunto de modelos) que estima propiedades específicas de la molécula generada, como solubilidad, bioactividad frente a una diana y toxicidad (p. ej., LD50, inhibición de hERG).

3.​ El optimizador: Un bucle de aprendizaje por refuerzo o de ascenso de colina que retroalimenta la puntuación del predictor al generador, dirigiendo la distribución de probabilidad de los tokens futuros hacia regiones de mayor puntuación.

En el modo terapéutico, la función de recompensa del optimizador ($R$) se define como:

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

donde $\lambda$ es un factor de ponderación que penaliza los resultados tóxicos. En el modo adversario «invertido», los investigadores simplemente negaron la penalización:

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ El generador mismo—el motor de creación—permaneció intacto. Simplemente siguió el gradiente de la nueva función de recompensa. Esto demuestra que la capacidad de generar armas no es un «bug» ni un módulo distinto que pueda eliminarse; es intrínseca a la comprensión del espacio químico por parte del modelo. Si un modelo comprende qué hace segura a una molécula, por definición comprende qué la hace insegura, ya que son regiones complementarias de la misma variedad de alta dimensión. ⁹

1.3 El riesgo universal: más allá de la química

Aunque el experimento de Urbina se centró en las armas químicas, el principio se aplica universalmente a la IA generativa en entornos empresariales. La dualidad de la «optimización» significa que cualquier sistema diseñado para maximizar una métrica puede invertirse para minimizarla, o para maximizar un correlato dañino.

●​ Ciberseguridad: Un modelo entrenado para identificar y parchear vulnerabilidades de día cero (codificación defensiva) debe comprender la mecánica del exploit. Invertido, se convierte en un motor automatizado de descubrimiento y armamentización de días cero. ¹⁰

●​ Sistemas financieros: Un modelo optimizado para detectar fraude aprendiendo los patrones de transacciones ilícitas puede invertirse para generar transacciones que imitan a la perfección el comportamiento legítimo, «optimizando» de hecho el blanqueo de capitales. ¹¹

●​ Planificación estratégica: Una IA diseñada para optimizar la estrategia de mercado de una corporación podría, si se alinea con una función objetivo despiadada, proponer estrategias que técnicamente maximicen el valor para el accionista pero violen las leyes antimonopolio o los estándares éticos.

La Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence destaca exactamente esta capacidad—rebajar la barrera de entrada para desarrollar amenazas biológicas, químicas y cibernéticas—como una preocupación primordial de seguridad nacional. ¹⁰ Las respuestas actuales del sector tecnológico a menudo implican «filtros de seguridad» o «entrenamiento de alineación», pero, como exploraremos, estas intervenciones superficiales son matemáticamente frágiles frente a las profundas capacidades de optimización estructural de la IA moderna.

2. La falacia del envoltorio LLM: por qué fallan las salvaguardas de superficie

La tendencia predominante en la actual «fiebre del oro de la IA» es el despliegue del «envoltorio

LLM»—una aplicación que sirve de interfaz delgada entre un usuario y un modelo fundacional (como GPT-4, Claude o Llama). Estos envoltorios utilizan ingeniería de prompts (prompts de sistema) y filtrado básico de contenido para dirigir el comportamiento del modelo. Para aplicaciones industriales de alto riesgo, particularmente las que involucran seguridad física y bioseguridad, este enfoque es peligrosamente inadecuado.

2.1 La limitación del «asesor no encarnado»

Los grandes modelos de lenguaje (LLM) son, en esencia, motores probabilísticos no encarnados. Predicen el siguiente token a partir de correlaciones estadísticas en sus datos de entrenamiento, no a partir de una comprensión fundamentada de la realidad física o biológica. Como se señala en la investigación sobre LLM en el descubrimiento científico, un LLM actúa como un «asesor no encarnado» más que como un asistente de investigación en el laboratorio. ¹³

En el contexto de la bioseguridad, un envoltorio LLM carece de los bucles de retroalimentación integrados necesarios para verificar la seguridad. Opera sobre el lenguaje, no sobre las leyes de la física o la química. Cuando se pide a un envoltorio que diseñe una molécula, puede «alucinar» estructuras de sonido plausible pero químicamente inválidas. Más peligrosamente, si sí genera una estructura válida, carece de la capacidad intrínseca de verificar su toxicidad más allá de simples consultas a bases de datos. Si una molécula es novedosa—como lo fueron miles de los análogos de VX generados en el experimento MegaSyn—el LLM no tiene referencia textual para marcarla como peligrosa. ¹³

El «conocimiento» de un LLM es estático, congelado en el momento del entrenamiento. No puede ejecutar una simulación para determinar si un nuevo plegamiento proteico es patógeno. Solo puede recordar que «el ántrax es malo». Esta dependencia de la memorización rutinaria de conceptos «malos» es un fallo fatal al tratar con sistemas generativos diseñados para explorar espacios conceptuales nuevos.

2.2 La fragilidad del filtrado a posteriori

La mayoría de las soluciones de IA empresarial se basan en «salvaguardas» que funcionan como filtros a posteriori. Estos sistemas interceptan el prompt del usuario (filtrado de entrada) o la respuesta del modelo (filtrado de salida) y lo contrastan con una lista de términos prohibidos, expresiones regulares (Regex) o un modelo secundario de clasificación (p. ej., el Moderation Endpoint de OpenAI). ¹⁵

Tabla 2: Limitaciones del filtrado a posteriori en dominios de alto riesgo

Tipo de limitación	Descripción	Consecuencia en bioseguridad
Ceguera contextual	Los filtros buscan palabras clave específicas (p. ej., «VX», «Sarin», «Bomba»).	Falla al bloquear compuestos novedosos o precursores que carecen de nombres comunes

Col1	Col2	(p. ej., «Compound X-293»).
Ofuscación SMILES	La toxicidad está codificada en la estructura, no en el nombre.	Un filtro bloquea la palabra «Sarin» pero deja pasar la cadena SMILES O=P(C)(F)O, que el modelo entiende como Sarin.
Acantilados de actividad	Cambios estructurales menores causan enormes desplazamientos de toxicidad.	Un envoltorio ve una molécula 99 % similar a un fármaco seguro y la aprueba, pasando por alto el único átomo que confiere letalidad.17
Naturaleza reaccionaria	Bloquea el contenido después de la generación.	El modelo ya ha realizado el cómputo. En un sistema en tiempo real, la latencia permite fugas potenciales o ataques de canal lateral.

El problema del «acantilado de actividad» es particularmente condenatorio para los envoltorios basados en texto. En química medicinal, un acantilado de actividad ocurre cuando un cambio muy pequeño en la estructura conduce a un cambio desproporcionadamente grande en la propiedad biológica. ¹⁸ Un envoltorio que use un filtro basado en similitud podría aprobar una molécula porque se parece «en su mayor parte» a la aspirina o a un inhibidor seguro de quinasas, sin reconocer que la sustitución de un grupo hidroxilo por un átomo de flúor ha alterado radicalmente su perfil de toxicidad. Los modelos basados en texto, que operan sobre la distancia semántica de tokens en lugar de variedades de bioactividad 3D, son notoriamente malos prediciendo estos acantilados. ¹⁴

2.3 Vulnerabilidad adversaria: el ataque «SMILES»

La evidencia más convincente contra el enfoque de envoltorio es la prevalencia del «jailbreaking»—ataques adversarios diseñados para eludir el entrenamiento de seguridad. Mientras que el «Red Teaming» a menudo se centra en la ingeniería social (p. ej., «la receta de napalm de la abuela»), los riesgos técnicos en bioseguridad son mucho más sofisticados.

El ataque de SMILES-prompting: Investigación reciente ha demostrado una técnica novedosa de jailbreak conocida como «SMILES-prompting». Los atacantes eluden los filtros de seguridad introduciendo la representación en cadena ASCII (SMILES) de una molécula prohibida en lugar de su nombre. Los filtros de contenido entrenados en lenguaje natural a menudo no reconocen la semántica tóxica oculta en la sintaxis química.20

●​ Mecanismo: El atacante solicita instrucciones de síntesis para [O-]S(=O)(=O)[O-].. (sulfato de talio, un veneno para ratas) en lugar de pedir «veneno».

●​ Resultado: El LLM, reconociendo la sintaxis química pero sin activar el filtro de palabras clave de «contenido dañino», proporciona de buen grado el protocolo de síntesis.

●​ Escala: Los estudios muestran que este método puede eludir los mecanismos de seguridad en modelos líderes como GPT-4 y Claude 3 con tasas de éxito alarmantes, que a veces superan el 90 % para sustancias específicas. ¹¹

Además, marcos de ataque automatizados como ToxicTrap utilizan algoritmos evolutivos para encontrar pequeñas perturbaciones a nivel de palabra que engañan a los clasificadores de toxicidad para etiquetar texto tóxico como benigno. ²² Si un sistema de seguridad puede ser derrotado por un sinónimo, no es un sistema de seguridad—es un badén.

Para una firma de consultoría empresarial como Veriprajna, construir una solución sobre un envoltorio fácilmente falsificable es una responsabilidad. La verdadera seguridad de grado empresarial exige una reingeniería fundamental de cómo el modelo navega su espacio latente.

3. La geometría de la toxicidad: comprender los riesgos latentes

Para comprender por qué fallan los envoltorios y cómo Veriprajna tiene éxito, hay que comprender el entorno matemático en el que operan los modelos generativos: el espacio latente . Los modelos generativos profundos (VAE, GAN, modelos de difusión) no almacenan datos; aprenden a mapear datos de alta dimensión (como estructuras moleculares) en una representación comprimida de menor dimensión llamada espacio latente ($Z$). En este espacio, los puntos de datos similares se agrupan juntos, y la generación es el acto de muestrear de esta variedad.

3.1 La variedad continua de toxicidad

El «paisaje de toxicidad» es una región dentro de este espacio latente. No es una lista discreta de moléculas malas, sino una variedad continua—una forma definida por las propiedades fisicoquímicas que confieren letalidad.

●​ Riesgo continuo: La toxicidad no es binaria; es un gradiente. La transición de un fármaco terapéutico a un agente tóxico puede ser una trayectoria suave en el espacio latente. Un modelo de hecho «interpola» entre moléculas conocidas. Si interpola entre dos moléculas seguras que enmarcan una región tóxica, la trayectoria puede atravesar el «valle de la muerte». ²³

●​ La hipótesis de la variedad: El supuesto central del aprendizaje profundo es que los datos del mundo real yacen sobre una variedad de menor dimensión embebida en un espacio de alta dimensión. Los ataques adversarios a menudo explotan las regiones fuera de esta variedad, o «agujeros» en la distribución donde el comportamiento del modelo es indefinido e impredecible. ²⁵

Cuando los investigadores de Collaborations Pharmaceuticals «invirtieron el interruptor», esencialmente indicaron al modelo que realizara un ascenso de gradiente a lo largo del «vector de toxicidad» en este espacio latente. Como el espacio es continuo, el modelo pudo deslizarse fácilmente desde compuestos seguros hacia la región de alta toxicidad.

3.2 El problema del entrelazamiento

Idealmente, un modelo generativo desenredaría la «toxicidad» de la «bioactividad» en ejes separados y ortogonales en el espacio latente. Si esto fuera cierto, la seguridad sería tan simple como bloquear el eje de «toxicidad» en cero. Sin embargo, en los modelos biológicos profundos, estas características están profundamente entrelazadas .

Una característica fisicoquímica que permite a un fármaco penetrar la barrera hematoencefálica (un rasgo altamente deseable para tratar el Alzheimer o el Parkinson) es a menudo exactamente la misma característica que permite a un agente nervioso alcanzar su diana y causar parálisis. ¹ Del mismo modo, una alta afinidad de unión—la capacidad de adherirse firmemente a una proteína—es buena para un fármaco pero fatal si la proteína es la acetilcolinesterasa (la diana del VX).

Debido a este entrelazamiento, los mecanismos simples de «rechazo» (como los de los envoltorios) lobotomizan de hecho el modelo. Si se bloquean todas las características asociadas a la toxicidad (p. ej., «bloquear toda penetración de la barrera hematoencefálica»), se destruye la utilidad terapéutica del modelo. El reto es navegar la variedad de operación segura —un subconjunto del espacio latente donde la eficacia se conserva pero la toxicidad queda topológicamente excluida.

3.3 Colapso de representación y acantilados de actividad

Uno de los fallos críticos de los modelos «caja negra» estándar es el colapso de representación . Esto ocurre cuando el modelo mapea dos moléculas distintas a los mismos puntos, o casi idénticos, en el espacio latente porque no captura la sutil diferencia estructural que las distingue.

●​ Limitaciones basadas en grafos: Muchos modelos moleculares usan redes neuronales de grafos (GNN). Aunque potentes, las GNN pueden tener dificultades para distinguir entre estereoisómeros o sustituciones atómicas menores si la profundidad de paso de mensajes es insuficiente. Esto conduce al colapso de representación, donde una toxina y un fármaco seguro comparten el mismo embedding latente. ¹⁷

●​ La consecuencia: Si el modelo no puede distinguir el punto «seguro» del punto «tóxico» en su geometría interna, ningún filtrado externo lo salvará. El modelo cree que son lo mismo.

●​ Soluciones basadas en imágenes: Investigación emergente, como el marco MaskMol, sugiere que las representaciones basadas en imágenes (aprendizaje a partir de imágenes moleculares) o los enfoques multimodales pueden captar mejor estas sutiles distinciones, preservando los «acantilados» en el paisaje latente. ¹⁷

El enfoque de Veriprajna utiliza modelos generativos conscientes de la topología que mapean la funcional topología (actividad) en lugar de solo la topología estructural (sintaxis). Esto asegura que los acantilados de actividad se respeten como «fronteras duras» en el proceso de generación segura, impidiendo que el modelo se deslice a través de un acantilado hacia la toxicidad. ²⁶

4. Metodología de Veriprajna: gobernanza del espacio latente

Veriprajna se diferencia al ir más allá del paradigma del «envoltorio» para implementar la gobernanza del espacio latente . Esto implica intervenir en el proceso de generación antes de que los datos se decodifiquen, aplicando restricciones estructurales que hacen la generación de contenido tóxico matemáticamente imposible (o estadísticamente despreciable) en lugar de meramente «filtrada».

4.1 Restricciones estructurales: el escudo matemático

El filtrado a posteriori es reactivo: el modelo genera un candidato y un juez lo rechaza. La generación con restricciones es proactiva: se impide que el modelo considere candidatos inseguros.

Tabla 3: Comparación de paradigmas de seguridad

Característica	Filtrado a posteriori (envoltorio)	Estructurales/latentes Restricciones (Veriprajna)
Mecanismo	Generar $\rightarrow$ Revisar $\rightarrow$ Aceptar/Rechazar	Restringir el muestreo latente $\rightarrow$ Generar
Punto de control	Salida (texto/píxel/SMILES)	Vector latente ($z$) / Geometría de la variedad
Coste computacional	Alto (ciclos de generación desperdiciados en salidas rechazadas)	Bajo (restricciones aplicadas durante el muestreo/inferencia)
Robustez	Baja (susceptible a jailbreaks/ofuscación)	Alta (las restricciones son intrínsecas a la matemática)
Manejo de la novedad	Falla (no puede filtrar lo que no conoce)	Éxito (restringe con base en variedades de propiedades)
Cumplimiento	Rastro de auditoría de rechazos (ruidoso)	Prueba matemática de comportamiento acotado

4.2 Aprendizaje a posteriori de restricciones latentes

Veriprajna emplea técnicas para aprender restricciones a posteriori sobre modelos incondicionales preentrenados. Esto evita el coste prohibitivo de reentrenar modelos fundacionales masivos al tiempo que asegura un control robusto.

El flujo de trabajo:

1.​ Preentrenamiento no supervisado: Partimos de un potente modelo generativo incondicional (VAE o GAN) que aprende la distribución de estructuras químicas válidas ($p(x)$). Este modelo aprende «cómo hacer moléculas» pero no «qué moléculas hacer». ²³

2.​ Entrenamiento de la función de restricción: Entrenamos una «función de valor» ($v(z)$) o «función de restricción» ($c(z)$) que opera directamente sobre el espacio latente. Esta función mapea un vector latente $z$ a una puntuación de seguridad.

○​ Esta función se entrena con datos etiquetados (tóxico vs. seguro) para identificar las «regiones» del espacio latente que corresponden a alta toxicidad.

○​ De forma crucial, a diferencia del experimento MegaSyn que optimizó para esta región, definimos esta región como una zona prohibida (o variedad negativa).

3.​ Muestreo restringido (dirección por gradiente): Durante la fase de generación, usamos optimización basada en gradiente (como la dinámica de Langevin) para desplazar la distribución de muestreo.

○​ Si un vector muestreado $z$ cae en una región tóxica o cerca de ella, el gradiente de la función de restricción $\nabla c(z)$ empuja el vector de vuelta a la variedad segura antes de que se decodifique en una molécula.

○​ Esto es matemáticamente análogo a «dirigir» la generación lejos del borde del acantilado. El modelo «imagina» una molécula tóxica pero se ve forzado a resolverla en un análogo seguro. ²³

4.3 Análisis topológico de datos (TDA) y defensa de la variedad

Para abordar el riesgo de toxinas novedosas que quedan fuera de la distribución de entrenamiento (fuera de distribución u OOD), Veriprajna utiliza el análisis topológico de datos (TDA).

●​ Diagramas de persistencia: Calculamos los diagramas de persistencia de los datos de entrenamiento «seguros». Esta técnica matemática analiza la forma de la nube de datos (sus agujeros, bucles y vacíos) a diferentes escalas. Nos da una huella topológica de cómo se ve la «seguridad». ²⁶

●​ Distancia a la variedad: Cuando el modelo propone un vector $z$, calculamos su distancia respecto a la variedad de datos seguros mediante descomposición guiada por la variedad.

●​ La detección del vacío: Si un vector queda demasiado lejos de la variedad—flotando en el «vacío» del espacio latente—se marca como de alto riesgo, incluso si predictores específicos de toxicidad son inciertos. Los ataques adversarios a menudo intentan ocultar toxinas en estas regiones de baja densidad (los «agujeros» en el conocimiento del modelo). El TDA nos permite detectar y rechazar estas anomalías con base en la geometría, no solo en la probabilidad. ²⁵

4.4 Aprendizaje por refuerzo con restricciones (CRL) con incentivos

adaptativos

Para modelos que requieren optimización (p. ej., maximizar la potencia de un fármaco), utilizamos aprendizaje por refuerzo con restricciones (CRL) en lugar de una simple maximización de la recompensa.

●​ RL estándar: Maximizar la recompensa $R$. (Riesgo: el escenario del «interruptor invertido» donde $R$ se convierte en toxicidad).

●​ CRL de Veriprajna: Maximizar la recompensa $R$ sujeto a coste $C < Limit$.

●​ Mecanismo de incentivo adaptativo: El RL con restricciones tradicional puede ser inestable, oscilando alrededor del límite de la restricción. Veriprajna implementa un mecanismo de incentivo adaptativo que recompensa al agente por permanecer bien dentro de los límites, no solo por no cruzarlos.

○​ Introducimos una «zona de amortiguación» en el espacio latente. A medida que el modelo se acerca a la restricción de toxicidad, una penalización creciente (función barrera) lo empuja de vuelta, asegurando una convergencia suave y estable hacia soluciones seguras. ²⁹

5. Inmersión técnica: abordar la vulnerabilidad «MegaSyn»

Para asegurar de verdad la química generativa, debemos diseccionar las vulnerabilidades arquitectónicas específicas expuestas por el experimento MegaSyn y abordarlas con nuestras salvaguardas estructurales propuestas.

5.1 Deconstruyendo MegaSyn

El modelo MegaSyn referido en el artículo de Nature Machine Intelligence utiliza un enfoque de conjunto específico ⁵ :

●​ Generador central: Una red neuronal recurrente (RNN) basada en LSTM.

●​ Representación de entrada: Cadenas SMILES tokenizadas en caracteres (p. ej., «C», «N», «=», «1»).

●​ Método de entrenamiento: «Teacher Forcing», en el que se alimenta al modelo con el token anterior correcto durante el entrenamiento para acelerar la convergencia.

●​ Priming: El modelo crea «modelos cebados» mediante ajuste fino en subestructuras específicas de una molécula diana usando reglas RECAP.

●​ La vulnerabilidad de optimización: El algoritmo de «ascenso de colina» es un método de optimización voraz. Cuando la función de puntuación se invirtió a Score = Toxicity, el modelo escaló eficazmente el gradiente hacia la letalidad máxima porque la «sintaxis» de un agente nervioso (enlaces fósforo-oxígeno, cadenas laterales alquílicas específicas) es químicamente válida y estaba presente en los datos de entrenamiento (ChEMBL), aunque no estuviera etiquetada como «arma».

5.2 Impedir la «inversión»: el protocolo Veriprajna

¿Cómo impediría la gobernanza del espacio latente de Veriprajna una inversión al estilo MegaSyn?

1.​ Restricciones cableadas: En lugar de una función de recompensa mutable que un usuario puede simplemente invertir ($-1$ a $+1$), Veriprajna incrusta la restricción de toxicidad en el muestreo posterior . La restricción no es un número en un script de Python; es una condición de frontera en el motor de inferencia. Para «invertirla», habría que rearquitectar de forma fundamental el software, no solo cambiar un archivo de configuración.

2.​ Restricción de la variedad: La «variedad CWA» (espacio de agentes de guerra química) se mapearía mediante TDA. Esta región se designaría como un «espacio nulo». Cualquier actualización de gradiente que intente mover el vector latente hacia este espacio se anularía o se invertiría.

3.​ Detección de acantilados de actividad: Nuestro modelo utilizaría representaciones basadas en imágenes (como MaskMol) junto con representaciones de grafos para detectar los sutiles motivos estructurales de los agentes nerviosos (p. ej., el enlace P-F en Sarin/Soman) que podrían pasar desapercibidos para modelos simples basados en descriptores. Estos motivos activarían una «penalización de acantilado» que anula la recompensa del ascenso de colina. ¹⁷

6. Panorama regulatorio y cumplimiento

El paso del «envoltorio» a las «salvaguardas estructurales» no es solo una mejora técnica; es una necesidad estratégica impulsada por un entorno regulatorio que se endurece con rapidez. Los gobiernos y los organismos internacionales están pasando de «directrices voluntarias» a marcos de cumplimiento rigurosos que exigen explicabilidad, control y seguridad demostrada.

6.1 La orden ejecutiva de la Casa Blanca y la Genesis Mission

La Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (octubre de 2023) y la posterior «Genesis Mission» (noviembre de 2025) representan un cambio sísmico en la política federal de IA. ¹⁰

●​ El mandato: La EO identifica explícitamente el riesgo de que la IA rebaje las barreras para el desarrollo de armas CBRN (químicas, biológicas, radiológicas, nucleares) como una amenaza nacional de nivel 1 de seguridad.

●​ La Genesis Mission: Esta nueva iniciativa dirige al Departamento de Energía (DOE) a construir una plataforma de IA integrada para el descubrimiento científico. De forma crucial, exige «medidas adecuadas de ciberseguridad basadas en el riesgo» y entornos seguros para la experimentación dirigida por IA. ³²

●​ Brecha de cumplimiento: Un envoltorio LLM estándar no puede demostrar que impide la creación de amenazas biológicas; solo puede mostrar que intenta filtrarlas. Este enfoque de «mejor esfuerzo» probablemente no cumplirá los estándares de «seguro y digno de confianza» exigidos para contratos federales o la integración con la Genesis Platform.

●​ La ventaja de Veriprajna: Nuestras restricciones estructurales proporcionan prueba de imposibilidad (dentro de límites estadísticos). Podemos demostrar a los reguladores que la «variedad CBRN» es inaccesible para nuestros modelos, alineándonos a la perfección con el requisito de la EO de pruebas rigurosas de seguridad y «Red Teaming». ³³

6.2 NIST AI Risk Management Framework (AI RMF 1.0)

El NIST AI RMF es el estándar de oro para la gobernanza civil de la IA en EE. UU. Enfatiza cuatro funciones: Map, Measure, Manage, and Govern . ³⁴

●​ Perfil de IA generativa (NIST.AI.600-1): Este perfil específico identifica la «información CBRN» como un riesgo único exacerbado por la GenAI. ³⁶ Advierte que las «Chemical and Biological Design Tools (BDTs)» pueden predecir estructuras novedosas que no están en los datos de entrenamiento.

●​ Alineación de Veriprajna:

○​ Measure: Nuestro uso del análisis topológico de datos (TDA) aporta métricas cuantitativas de incertidumbre epistémica —midiendo cuán «lejos» está una salida generada de los datos seguros conocidos. Esto satisface el requisito del NIST de medición rigurosa de la fiabilidad del sistema.

○​ Manage: Las restricciones latentes proporcionan un mecanismo técnico para gestionar el riesgo que es superior a los intentos basados en políticas. Pasamos de «política como documentación» a «política como código» (o más bien, «política como geometría»).

6.3 ISO/IEC 42001:2023

ISO 42001 es el primer estándar internacional de sistema de gestión para la IA del mundo, y aporta un marco certificable de gobernanza de la IA. ³⁸

●​ Requisito central: El estándar exige «Safety and Ethical Use» y «Robustness and Resilience» frente a ataques adversarios. Requiere que las organizaciones realicen evaluaciones de impacto de la IA e implementen controles para mitigar los riesgos identificados.

●​ Robustez adversaria: ISO 42001 destaca específicamente la necesidad de defenderse de entradas diseñadas para manipular el comportamiento del modelo (como el SMILES prompting). Veriprajna defensa de la variedad aborda esto de forma explícita al rechazar entradas que resultan en vectores latentes fuera de la variedad de datos válida, neutralizando intentos de «jailbreak» que se basan en prompts fuera de distribución. ⁴⁰

●​ Certificación: El enfoque estructurado de Veriprajna permite rastros de auditoría claros. Podemos registrar no solo las salidas, sino las violaciones de restricción intentadas por el modelo durante el proceso de generación, aportando a los auditores datos granulares sobre el desempeño de seguridad del sistema. ⁴¹

7. Estrategia de implementación: el protocolo de «solución profunda»

Veriprajna no se posiciona como un proveedor de chatbots, sino como arquitecto de una infraestructura de IA segura y de dominio específico. Nuestra estrategia de implementación para clientes sigue un protocolo de «solución profunda» en cuatro fases diseñado para transformar su IA de un envoltorio arriesgado en un motor gobernado de descubrimiento.

Fase 1: mapeo de la variedad y auditoría topológica

Antes de desplegar cualquier modelo generativo, realizamos una auditoría topológica de los datos privativos del cliente y de datos públicos relevantes (p. ej., ChEMBL, Tox21).

●​ Objetivo: Definir la «variedad de operación segura».

●​ Técnica: Usar homología persistente para identificar las características topológicas (bucles, vacíos) de las regiones seguras vs. tóxicas.

●​ Entregable: Un «mapa topológico de seguridad» que visualiza los límites del espacio latente e identifica posibles «agujeros» donde el modelo podría alucinar o ser atacado.

Fase 2: entrenamiento de restricciones latentes (los «críticos»)

No nos limitamos a hacer ajuste fino del modelo base (lo que conlleva el riesgo de olvido catastrófico). En su lugar, entrenamos redes auxiliares ligeras llamadas críticos de restricción .

●​ Técnica: Aprendizaje a posteriori de funciones de valor ($v(z)$) que predicen puntuaciones de riesgo a partir de embeddings latentes. ²³

●​ Arquitectura: Estos críticos están desacoplados del generador. Esta es una ventaja arquitectónica crucial: a medida que se identifican nuevas amenazas (p. ej., una nueva clase de armas químicas), podemos actualizar el crítico sin reentrenar el modelo fundacional masivo, asegurando agilidad y seguridad al día.

Fase 3: integración de muestreo restringido y dirección

Integramos los críticos de restricción directamente en el pipeline de inferencia del cliente.

●​ Mecanismo: Durante la generación, usamos dinámica de Langevin o dirección por gradiente .

●​ Proceso: A medida que el modelo muestrea el espacio latente para generar una molécula, el crítico calcula el gradiente de la superficie de toxicidad. Si la trayectoria se dirige hacia una región tóxica, el mecanismo de dirección aplica un gradiente opuesto, «empujando» la trayectoria de vuelta a la variedad segura.

●​ Resultado: El modelo de hecho «piensa» en una molécula tóxica pero se ve forzado matemáticamente a «resolver» el pensamiento en un análogo seguro antes de que se genere cualquier salida.

Fase 4: Red Teaming molecular y apoyo a la certificación ISO

Sometemos el sistema desplegado a «Red Teaming molecular».

●​ Método: Usamos agentes adversarios automatizados (como ToxicTrap y bots personalizados de SMILES-prompting) para bombardear el modelo con entradas de caso límite, intentando forzarlo a cruzar los acantilados de actividad. ²¹

●​ Verificación: Proporcionamos un certificado de seguridad basado en la probabilidad estadística de violación de la restricción (p. ej., "Probability of toxic generation < $10^{-6}$"), aportando la base evidencial para la certificación ISO 42001.

8. Conclusión: el futuro de la innovación segura

El experimento del «interruptor invertido» de Collaborations Pharmaceuticals no fue una anomalía; fue una demostración de la volatilidad fundamental de la optimización sin restricciones en la IA. En la carrera por desplegar IA empresarial, muchas organizaciones construyen castillos sobre arena—apoyándose en envoltorios frágiles que se desmoronan bajo presión adversaria o contextos novedosos.

Para la industria farmacéutica, e incluso para cualquier sector que lidie con realidades físicas o financieras de alto riesgo, la era del «envoltorio» debe terminar. La seguridad no puede pegarse a la salida; debe hornearse en la geometría del propio modelo.

Veriprajna ofrece el único camino viable hacia adelante: soluciones de IA profunda . Al dominar el espacio latente, no nos limitamos a filtrar la oscuridad; reestructuramos el universo matemático del modelo para asegurar que la luz del descubrimiento sea el único camino que pueda tomar. Proporcionamos las salvaguardas que permiten a la innovación empresarial acelerar sin el riesgo de un fallo catastrófico de doble uso.

Esto no es solo IA segura. Esto es inteligencia estructuralmente asegurada .

Apéndice A: formulación matemática de las restricciones latentes

Para aportar una base rigurosa a nuestra «gobernanza del espacio latente», detallamos la formulación matemática de las restricciones aplicadas durante el proceso de generación.

A.1 El problema de optimización con restricciones

Formulamos el proceso generativo no como un simple muestreo $z \sim p(z)$, sino como un problema de optimización con restricciones. Sea $G(z)$ el generador que mapea el vector latente $z$ al espacio de datos $X$. Sea $C(x)$ una función de coste (p. ej., un predictor de toxicidad). Buscamos muestrear $z$ tal que:

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

donde $\epsilon$ es el umbral de seguridad.

A.2 Funciones de valor a posteriori

Como evaluar $C(G(z))$ (generar la molécula y ejecutar un predictor) es costoso y no diferenciable, aprendemos una función de valor latente $V(z)$ que aproxima el coste directamente en el espacio latente:

$$V(z) \approx C(G(z))$$

Esta función se entrena para minimizar el error cuadrático medio en un conjunto de datos generados de muestras $\{(z_i, y_i)\}$, donde $y_i$ es la toxicidad de verdad de terreno.

A.3 Dirección por gradiente (dinámica de Langevin)

Durante la inferencia, muestreamos un $z_0$ inicial a partir de la prior $p(z)$. Luego actualizamos iterativamente $z$ usando el gradiente de la función de valor para moverlo a la región segura:

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

donde:

●​ $\alpha$ es el tamaño de paso (tasa de aprendizaje).

●​ $\nabla_z V(z_t)$ es el gradiente de la función de valor de toxicidad (alejándose de la toxicidad).

●​ $\xi_t \sim \mathcal{N}(0, I)$ es ruido gaussiano añadido para mantener la diversidad (ruido de Langevin). ²³

Este proceso asegura que el muestreado final $z$ yace dentro de la variedad segura definida por $V(z) < \epsilon$ antes de que el generador $G(z)$ se invoque jamás para producir la molécula final.

Apéndice B: análisis detallado de los marcos regulatorios

B.1 NIST AI RMF 1.0 y perfil GenAI

Cláusula pertinente: NIST.AI.600-1 (Generative AI Profile)

●​ Riesgo 2.1: CBRN Information or Capabilities. «Lowered barriers to entry... access to materially nefarious information... design tools (BDTs) may predict novel structures.»

●​ Acción de Veriprajna: Abordamos de forma explícita el riesgo de la «estructura novedosa» mediante TDA. Al definir la seguridad topológicamente, no nos apoyamos en una lista de «males conocidos» (que falla para estructuras novedosas) sino en la «forma de los bienes conocidos».

B.2 ISO/IEC 42001:2023

Cláusula pertinente: A.9.2 (AI System Safety)

●​ Requisito: «The organization shall implement controls to ensure AI systems act safely... taking into account the need for fallback plans.»

●​ Acción de Veriprajna: Nuestro mecanismo de incentivo adaptativo sirve como respaldo. Si la dirección primaria por gradiente falla (p. ej., el gradiente se anula), el sistema recae en un «centroide» seguro del espacio latente en lugar de emitir la muestra cruda.

Cláusula pertinente: A.10.3 (Adversarial Attacks)

●​ Requisito: «The organization shall assess the vulnerability... to adversarial attacks.»

●​ Acción de Veriprajna: Proporcionamos un «informe de Red Teaming» como entregable estándar, cuantificando la resistencia del sistema a ataques ToxicTrap y de SMILES-prompting. ²¹

Obras citadas

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, consultado el 11 de diciembre de 2025, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, consultado el 11 de diciembre de 2025, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, consultado el 11 de diciembre de 2025, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, consultado el 11 de diciembre de 2025, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., consultado el 11 de diciembre de 2025, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, consultado el 11 de diciembre de 2025, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, consultado el 11 de diciembre de 2025, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, consultado el 11 de diciembre de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, consultado el 11 de diciembre de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, consultado el 11 de diciembre de 2025, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, consultado el 11 de diciembre de 2025, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, consultado el 11 de diciembre de 2025, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, consultado el 11 de diciembre de 2025, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, consultado el 11 de diciembre de 2025, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, consultado el 11 de diciembre de 2025, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, consultado el 11 de diciembre de 2025, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, consultado el 11 de diciembre de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, consultado el 11 de diciembre de 2025, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, consultado el 11 de diciembre de 2025, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, consultado el 11 de diciembre de 2025, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, consultado el 11 de diciembre de 2025, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, consultado el 11 de diciembre de 2025, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, consultado el 11 de diciembre de 2025, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, consultado el 11 de diciembre de 2025, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, consultado el 11 de diciembre de 2025, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, consultado el 11 de diciembre de 2025, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, consultado el 11 de diciembre de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, consultado el 11 de diciembre de 2025, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, consultado el 11 de diciembre de 2025, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, consultado el 11 de diciembre de 2025, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, consultado el 11 de diciembre de 2025, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, consultado el 11 de diciembre de 2025, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, consultado el 11 de diciembre de 2025, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, consultado el 11 de diciembre de 2025, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, consultado el 11 de diciembre de 2025, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, consultado el 11 de diciembre de 2025, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, consultado el 11 de diciembre de 2025, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, consultado el 11 de diciembre de 2025, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, consultado el 11 de diciembre de 2025, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, consultado el 11 de diciembre de 2025, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, consultado el 11 de diciembre de 2025, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai