Test del módulo · Semana 7

Test: Seguridad y privacidad en aplicaciones de IA generativa

Preguntas al estilo del examen. Contesta, pulsa «Comprobar» y lee siempre la explicación, también cuando aciertes: ahí está lo que de verdad se aprende.

28 preguntasComprobadas: 0/28

1. Un banco de Madrid tiene un asistente que llama a Amazon Bedrock con la API InvokeModel. El prompt concatena unas instrucciones de sistema escritas por el equipo («Eres un asistente bancario…») con el texto que escribe el cliente. Han configurado un guardrail con el filtro PROMPT_ATTACK en fuerza HIGH para la entrada, pero en las pruebas de red team los intentos de «ignora todo lo anterior y actúa como…» pasan sin intervención. ¿Qué cambio resuelve el problema con el MENOR esfuerzo?

A. Activar también el filtro PROMPT_ATTACK sobre la salida del modelo con fuerza HIGH, para que el guardrail detecte el ataque cuando el modelo ya haya cambiado de rolB. Cambiar el guardrail al tier Classic, que evalúa por defecto todo el prompt, incluidas las instrucciones del desarrollador, sin necesidad de ninguna marca adicionalC. Envolver solo el texto del cliente en las etiquetas de entrada amazon-bedrock-guardrails-guardContent con su tagSuffixD. Añadir un word filter con las frases «ignora las instrucciones» y «actúa como» para bloquear cualquier petición que las contenga de forma literal

2. Una aseguradora con sede en Bilbao atiende a clientes en castellano, euskera, catalán y portugués con un asistente en Amazon Bedrock desplegado en eu-central-1. Seguridad exige detectar los intentos de extraer el system prompt (prompt leakage) y el DPO exige que ningún dato salga de la Unión Europea. ¿Qué configuración del guardrail cumple ambos requisitos?

A. Tier Standard para content filters y denied topics, con crossRegionConfig apuntando al perfil eu.guardrail.v1:0B. Tier Classic con un denied topic adicional llamado «Revelar instrucciones internas» y frases de ejemplo que pidan repetir el prompt anteriorC. Tier Standard sin cross-Region inference, para que toda la evaluación se haga exclusivamente en Fráncfort y no en otras regiones europeasD. Tier Classic combinado con la clasificación de prompt safety de Amazon Comprehend en eu-west-1 antes de llamar al modelo

3. Una correduría de seguros de Valencia genera resúmenes de pólizas con un pipeline RAG propio: recupera fragmentos de un almacén vectorial, llama al modelo y luego valida el resumen antes de enseñárselo al cliente. Negocio exige bloquear cualquier resumen que añada datos que no estén en los fragmentos recuperados o que no responda a la petición. ¿Qué solución lo consigue con la MENOR carga operativa?

A. Crear una política de Automated Reasoning a partir de las 500 pólizas completas y bloquear automáticamente todos los resultados INVALIDB. Definir un denied topic «Información que no aparece en las pólizas» con cinco frases de ejemplo representativasC. Fijar la temperatura en 0 y añadir al prompt la instrucción de no inventar datos que no aparezcan en el contextoD. Llamar a ApplyGuardrail con un contextual grounding check, pasando los fragmentos como grounding_source, la petición como query y el resumen

4. Un equipo de desarrollo intenta crear con la API CreateGuardrail un contextual grounding check con los umbrales de grounding y relevance a 1, «para exigir la máxima fidelidad posible». La llamada falla con ValidationException. ¿Cuál es la causa?

A. Los umbrales se expresan como porcentajes enteros entre 0 y 100, no como decimalesB. El umbral válido va de 0 a 0,99; 1 no se admite porque bloquearía todo el contenidoC. Solo el filtro de relevance admite umbral; el de grounding se activa sin valor numéricoD. Un umbral de 1 solo está permitido en guardrails del tier Standard con cross-Region inference

5. Una entidad hipotecaria con operaciones en Irlanda (eu-west-1) tiene un asistente en inglés que responde si un cliente cumple los requisitos de una hipoteca. El regulador exige poder demostrar, respuesta a respuesta, que la conclusión es coherente con las reglas de elegibilidad y explicar qué regla la respalda. ¿Qué capacidad de AWS encaja mejor?

A. Un contextual grounding check con umbrales de 0,99 usando el manual de riesgos como grounding source en cada llamadaB. Un denied topic por cada regla de elegibilidad, con las condiciones de la regla escritas en la definición del temaC. Automated Reasoning checks en el guardrail y actuar según sus findingsD. Un trabajo nocturno de Amazon Bedrock Evaluations con LLM-as-a-judge sobre una muestra de conversaciones del día anterior

6. Un arquitecto propone usar solo Automated Reasoning checks en un chatbot de recursos humanos en español que responde en streaming, «porque la lógica formal también frenará los intentos de prompt injection». ¿Qué afirmación sobre Automated Reasoning checks es correcta?

A. No protege contra prompt injection, no admite streaming y solo soporta inglés (US)B. Bloquea automáticamente las respuestas INVALID y las sustituye por el mensaje configurado en blockedOutputsMessaging del guardrailC. Admite streaming si se configura streamProcessingMode en modo asíncrono, porque valida cada fragmento por separadoD. Puede incluirse en un guardrail aplicado por AWS Organizations para que proteja a la vez todas las cuentas del holding

7. Una cadena hotelera usa tres modelos: uno en Amazon Bedrock, un modelo open source en un endpoint de SageMaker AI y un modelo de un proveedor externo accesible por API. Cumplimiento exige aplicar exactamente las mismas políticas de contenido, temas y PII a las entradas y salidas de los tres, con la *LEAST operational overhead*. ¿Qué debe hacer el equipo?

A. Migrar los tres modelos a Amazon Bedrock con Custom Model Import para poder pasar guardrailConfig en cada invocación ConverseB. Llamar a Amazon Comprehend DetectToxicContent antes y después de cada invocación de los tres modelosC. Poner AWS WAF con reglas administradas delante de los tres endpoints para filtrar prompts y respuestasD. Invocar ApplyGuardrail con source INPUT antes de cada modelo y con source OUTPUT después

8. Una empresa de telecomunicaciones de Barcelona tiene un asistente RAG. El 30 % de las preguntas son sobre temas prohibidos (asesoramiento legal), y el equipo de FinOps observa que igualmente se calculan embeddings, se consulta el almacén vectorial y se llama al modelo antes de rechazarlas. ¿Cómo se evita ese gasto?

A. Activar outputScope FULL en el guardrail para recibir también las entradas no detectadas y descartarlas antes de generarB. Llamar a ApplyGuardrail con source INPUT antes de la recuperación y, si devuelve GUARDRAIL_INTERVENED, responder con su textoC. Sustituir el denied topic por un word filter con los términos jurídicos más frecuentes, que se evalúa antes de la recuperaciónD. Configurar un contextual grounding check con source INPUT para que la relevance filtre la pregunta antes de consultar el índice

9. Un e-commerce va a activar un guardrail nuevo en su asistente de producción, con content filters en HIGH y varios denied topics. Temen bloquear preguntas legítimas y quieren medir durante dos semanas los falsos positivos sin afectar a ningún cliente. ¿Qué deben hacer?

A. Configurar las acciones de las políticas como NONE (detect mode) y analizar las assessments de la traza antes de pasar a BLOCKB. Publicar la versión DRAFT del guardrail en producción, porque los borradores registran detecciones pero nunca bloquean contenidoC. Bajar todas las fuerzas a LOW durante las dos semanas y subirlas a HIGH cuando no haya quejas de los clientesD. Activar outputScope FULL con acción BLOCK para ver en la respuesta todo lo que el guardrail habría bloqueado

10. Una fintech usa ConverseStream con un guardrail para su chat de atención al cliente. Producto pide la mínima latencia posible en el primer fragmento, pero el DPO exige que ningún número de tarjeta ni correo electrónico llegue a la pantalla sin enmascarar. ¿Qué configuración cumple el requisito del DPO?

A. streamProcessingMode asíncrono con la acción ANONYMIZE en la política de información sensible para la salidaB. streamProcessingMode asíncrono, confiando en que el guardrail retire del cliente los fragmentos ya enviados si detecta PIIC. streamProcessingMode síncrono con ANONYMIZE para esas entidades en la salida, aceptando algo más de latenciaD. Un word filter con los correos y tarjetas de todos los clientes, que en modo asíncrono sí se aplica a cada fragmento

11. Un retailer europeo expone un asistente de compras por Amazon API Gateway. Ha sufrido tres problemas: bots que lanzan miles de peticiones por minuto, usuarios que intentan jailbreaks y respuestas del modelo con HTML y JavaScript que el front-end pinta tal cual (improper output handling). ¿Qué arquitectura aplica defensa en profundidad para los tres riesgos?

A. Un guardrail con todos los content filters en HIGH, porque detecta jailbreaks, limita el volumen de peticiones y elimina el HTML de las respuestasB. AWS WAF con las reglas administradas de inyección SQL y XSS delante de API Gateway como único control, ya que cubre también los prompts maliciososC. Amazon Comprehend DetectToxicContent antes y después del modelo, con un umbral de toxicidad de 0,5 para bloquear peticionesD. AWS WAF con reglas rate-based, guardrail con PROMPT_ATTACK en la entrada y una Lambda que valide la salida con JSON Schema y escape el HTML

12. Un agente de soporte, construido con la API Converse y tool use, tiene un guardrail con la política de información sensible en ANONYMIZE para entrada y salida. Aun así, auditoría descubre que el modelo pasa correos y teléfonos de clientes en los argumentos de una herramienta que escribe en un CRM externo. ¿Cuál es la causa y la mejor mitigación?

A. La política de PII solo está activa en la entrada; hay que poner también outputAction ANONYMIZE para que se enmascaren los argumentosB. El filtro no evalúa toolUse.input ni toolResult; hay que validar y enmascarar los argumentos en la Lambda de la herramientaC. El tier Classic no evalúa herramientas; pasar el guardrail al tier Standard hace que se enmascaren los argumentos generadosD. Falta activar outputScope FULL, que extiende la evaluación del guardrail a todos los bloques de contenido, incluidas las herramientas

13. Un agente de una naviera lee el correo entrante y tiene una herramienta con permisos para borrar reservas. Un atacante envía un correo con instrucciones ocultas y el agente acaba cancelando 200 reservas sin que nadie lo apruebe. Según el OWASP Top 10 for LLM Applications 2025, ¿qué riesgo explica que el daño fuera tan grande y cómo se mitiga?

A. LLM10 Unbounded Consumption; se mitiga con cuotas y throttling de API Gateway para limitar las llamadas del agente por minutoB. LLM03 Supply Chain; se mitiga fijando versiones del modelo y de las librerías del agente en un repositorio interno aprobadoC. LLM06 Excessive Agency; se mitiga con herramientas de mínimo privilegio y aprobación humana para las acciones destructivasD. LLM09 Misinformation; se mitiga con contextual grounding checks sobre las respuestas que el agente redacta para los clientes

14. Un marketplace de segunda mano de Zaragoza recibe miles de fotos al día subidas por usuarios. Necesita detectar contenido inapropiado en las imágenes y el modelo genérico da falsos positivos con ciertos productos de su catálogo (por ejemplo, maniquíes de lencería). La cuenta de AWS es nueva. ¿Qué solución deben usar?

A. Amazon Rekognition DetectModerationLabels con un adaptador de Custom Moderation entrenado con sus imágenes anotadasB. Amazon Comprehend DetectToxicContent sobre las imágenes subidas, ajustando el umbral de la categoría SEXUALC. Amazon Macie con custom data identifiers que clasifiquen las fotos del bucket de subidas por tipo de contenidoD. Amazon Rekognition Batch Image Content Moderation en trabajos nocturnos sobre todas las fotos del día anterior

15. El comité legal de una aseguradora de Sevilla bloquea el proyecto de IA generativa hasta saber si Amazon Bedrock usa los prompts y respuestas para entrenar modelos y si los proveedores de modelos (Anthropic, Mistral…) pueden verlos. ¿Qué respuesta es correcta según la documentación de AWS?

A. Los proveedores solo acceden a los prompts si se activa model invocation logging, porque los registros se replican a su cuentaB. Hay que solicitar a cada proveedor una exclusión de entrenamiento mediante un acuerdo aceptado en AWS ArtifactC. Solo con Provisioned Throughput se garantiza que el contenido no se use para mejorar los modelos baseD. El contenido no se usa para mejorar los modelos base ni se comparte con los proveedores, que no acceden a sus cuentas de despliegue

16. Una Lambda en subredes privadas sin NAT gateway ni internet gateway debe llamar a Converse y a la API Retrieve de una knowledge base de Amazon Bedrock en eu-central-1. Seguridad prohíbe cualquier salida a internet y no quiere cambiar el código de la función. ¿Qué debe crear el equipo?

A. Un gateway endpoint para Amazon Bedrock en la tabla de rutas de las subredes privadas, igual que se hace con Amazon S3B. Interface endpoints de bedrock-runtime y bedrock-agent-runtime con private DNSC. Un único interface endpoint com.amazonaws.eu-central-1.bedrock, que da acceso a todas las APIs de BedrockD. Un NAT gateway con un security group que solo permita tráfico saliente hacia los rangos IP publicados de Bedrock

17. Un hospital de Málaga quiere usar un modelo que en eu-south-2 (España) solo está disponible mediante perfil de inferencia. La normativa interna exige que los datos de pacientes se procesen exclusivamente en regiones de la Unión Europea, aunque el coste sea algo mayor. ¿Qué debe usar?

A. El perfil de inferencia global, porque es más barato y AWS garantiza que el procesamiento se quede en la geografía de la región de origenB. Provisioned Throughput asociado al perfil de inferencia EU, para reservar capacidad dedicada dentro de las regiones europeasC. El perfil de inferencia geográfico EU (prefijo eu. en el modelId), que solo enruta a regiones de la geografía europeaD. Custom Model Import del mismo modelo en eu-south-2 para servirlo en la región española sin ningún perfil de inferencia

18. Antes de ingerir documentos en una knowledge base, una consultora debe saber qué buckets de sus 400 buckets de S3 contienen datos personales, incluido el DNI español con su formato propio. Quiere visibilidad continua y amplia del patrimonio de datos, con la *LEAST operational overhead*. ¿Qué solución elige?

A. Amazon Macie con automated sensitive data discovery y un custom data identifier por expresión regular para el DNIB. Trabajos asíncronos de Amazon Comprehend de detección de PII lanzados con Step Functions sobre cada bucket, un bucket por ejecuciónC. Una Lambda que lea cada objeto nuevo de S3 y lo evalúe con ApplyGuardrail usando un regex de DNI en la política de información sensibleD. Una política de protección de datos de CloudWatch Logs a nivel de cuenta con el identificador administrado de números nacionales

19. Un contact center de Valladolid quiere guardar miles de transcripciones en castellano en S3 para analizarlas con un modelo fundacional, pero antes debe eliminar nombres, teléfonos, IBAN y direcciones del texto. El proceso puede ejecutarse por lotes cada noche. ¿Qué servicio y modo encajan?

A. Amazon Comprehend DetectPiiEntities en tiempo real, que devuelve directamente cada transcripción con las entidades redactadasB. Amazon Comprehend DetectToxicContent con la categoría de datos personales activada y lotes de diez segmentos por llamadaC. Un trabajo de Amazon Macie sobre el bucket, configurado para redactar las entidades encontradas en cada objeto analizadoD. Un trabajo asíncrono de detección de PII de Amazon Comprehend en modo de redacción, sobre la carpeta de S3

20. Una aerolínea tiene un guardrail que enmascara correos electrónicos ({EMAIL}) en prompts y respuestas y tiene activado model invocation logging hacia CloudWatch Logs. En una auditoría aparecen correos completos de clientes en los registros. El equipo de seguridad necesita seguir conservando los registros para auditoría. ¿Qué deben hacer?

A. Activar outputScope FULL en el guardrail para que los registros guarden la versión enmascarada del texto evaluadoB. Aplicar una data protection policy de CloudWatch Logs en el grupo de registros y restringir logs:UnmaskC. Cambiar la acción de PII a ANONYMIZE también para la entrada, porque así el campo input del log ya se escribe enmascaradoD. Borrar la configuración de invocation logging y confiar en CloudTrail, que registra el cuerpo de los prompts sin datos personales

21. Varios equipos de una empresa de logística usan claves de API de Amazon Bedrock de largo plazo en aplicaciones de producción. Seguridad quiere impedir el uso de claves de largo plazo, permitir las de corto plazo y evitar que se generen nuevas claves largas. ¿Qué combinación de controles de IAM lo consigue?

A. Guardar las claves de largo plazo en AWS Secrets Manager con rotación automática cada 90 días para que actúen como credenciales temporalesB. Una SCP que deniegue bedrock:InvokeModel en todas las cuentas salvo para los roles aprobados por el equipo de plataformaC. Denegar bedrock:CallWithBearerToken con bedrock:bearerTokenType LONG_TERM y restringir iam:CreateServiceSpecificCredentialD. Activar IAM Access Analyzer para que revoque automáticamente las claves de API de Bedrock que no se usen durante 30 días

22. Un banco exige claves de KMS gestionadas por el cliente (customer managed keys) para todo lo que almacene su solución de IA generativa: la configuración de los guardrails, la ingesta de la knowledge base, los agentes y los documentos fuente en S3. ¿Qué debe configurar el equipo?

A. Indicar la clave en kmsKeyId del guardrail, kmsKeyArn de la data source, customerEncryptionKeyArn del agente y SSE-KMS en S3B. Cifrar los documentos en el cliente con AWS Encryption SDK antes de subirlos, para que la knowledge base indexe el texto ya cifradoC. Activar el cifrado por defecto de S3 con la clave administrada por AWS, que Bedrock hereda para todos sus recursos asociadosD. Guardar la configuración de guardrails y agentes en AWS Secrets Manager, que la cifra con la clave de KMS elegida por el banco

23. Una multinacional de distribución con sede en Madrid tiene un asistente text-to-SQL que genera consultas de Amazon Athena sobre su lago de datos en S3, catalogado en AWS Glue Data Catalog. Cada analista solo puede ver las filas de su país y ninguno debe ver la columna de margen. ¿Qué control garantiza esto aunque el modelo genere una consulta demasiado amplia?

A. Un denied topic por país en el guardrail del asistente, para bloquear las preguntas sobre países ajenos al del analistaB. Una bucket policy de S3 por prefijo de país que deniegue la lectura de los ficheros de otros países al rol de cada analistaC. Instrucciones en el system prompt que obliguen al modelo a añadir siempre un filtro WHERE con el país del usuarioD. Permisos de AWS Lake Formation con filtros de datos por fila y exclusión de columnas, aplicados a la identidad que ejecuta la consulta

24. Una agencia de viajes de Palma construye un asistente RAG que indexa páginas web de proveedores y correos de clientes. Un pentest demuestra una prompt injection indirecta: una página contiene texto oculto que ordena al modelo recomendar un hotel concreto e incluir un enlace malicioso. ¿Qué dos medidas reducen este riesgo de forma efectiva? (Elige dos)

A. Evaluar el contenido con ApplyGuardrail (content filters con PROMPT_ATTACK) antes de indexarlo y descartar lo que intervengaB. Fijar la temperatura del modelo en 0 para que siga siempre las instrucciones del system prompt y no las del contexto recuperadoC. Crear un custom data identifier de Amazon Macie que detecte instrucciones ocultas en los objetos del bucket de ingestaD. Separar instrucciones y datos no confiables con delimitadores y validar la salida (dominios de enlaces permitidos) antes de mostrarlaE. Añadir un word filter con 10.000 frases de ataques conocidos como único control, porque cubre todas las variantes posibles

25. Un holding industrial tiene 40 cuentas en AWS Organizations y equipos que invocan Amazon Bedrock desde cada una. Seguridad quiere que todas las invocaciones de modelos pasen obligatoriamente por un guardrail central que los equipos no puedan modificar, y que los llamantes no puedan evitar la evaluación marcando solo parte del prompt con etiquetas. ¿Qué dos pasos forman parte de la solución? (Elige dos)

A. Incluir en el guardrail central una política de Automated Reasoning para validar también las respuestas de todas las cuentasB. Crear en la cuenta de administración una versión numérica del guardrail y compartirla con una resource-based policy que conceda bedrock:ApplyGuardrailC. Referenciar en la política la versión DRAFT del guardrail, para que los cambios de seguridad se apliquen al instante en todas las cuentasD. Añadir en cada cuenta una política de IAM con la condición bedrock:GuardrailIdentifier, que impide saltarse la evaluación con input tagsE. Habilitar el tipo de política BEDROCK_POLICY, adjuntar la política a la raíz y fijar selective_content_guarding en comprehensive

26. Un banco despliega su aplicación de IA generativa en una VPC sin acceso a internet. Los requisitos son: el tráfico hacia Amazon Bedrock no puede salir de la red de AWS y, desde esa VPC, solo se puede invocar un modelo aprobado por el comité de riesgos. ¿Qué dos acciones cumplen los requisitos? (Elige dos)

A. Crear un interface endpoint de AWS PrivateLink para bedrock-runtime en las subredes privadas, con private DNS activadoB. Crear un gateway endpoint para Bedrock y asociarlo a las tablas de rutas de las subredes privadas de la aplicaciónC. Adjuntar al endpoint una endpoint policy que solo permita bedrock:InvokeModel sobre el ARN del modelo aprobadoD. Asociar una web ACL de AWS WAF al VPC endpoint con una regla que solo acepte el identificador del modelo aprobadoE. Activar Amazon Macie en la cuenta para que bloquee las invocaciones a modelos no aprobados desde la VPC

27. Una mutua sanitaria de Pamplona prepara una knowledge base con expedientes de reclamaciones que pueden contener datos personales. Requisitos: saber qué objetos de S3 contienen PII antes de ingerirlos, que las respuestas del asistente nunca muestren nombres ni teléfonos y que los ficheros originales se eliminen a los 30 días de subirse. ¿Qué tres medidas los cumplen? (Elige tres)

A. Ejecutar Amazon Macie sobre el bucket de origen para descubrir los objetos con PII antes de la ingestaB. Confiar en que Amazon Bedrock no usa el contenido para entrenar modelos, lo que ya evita que la PII aparezca en las respuestasC. Añadir un guardrail con la política de información sensible en ANONYMIZE para NAME y PHONE en la salida del asistenteD. Configurar una regla de S3 Lifecycle que expire los objetos del prefijo de originales a los 30 díasE. Pasar cada respuesta por Amazon Comprehend DetectToxicContent para eliminar los datos personales antes de mostrarla

28. Una plataforma de formación online procesa 2 millones de peticiones al mes con un guardrail que usa content filters, denied topics, la política de información sensible con entidades PII, un word filter y un regex. Cada petición tiene de media 2.500 caracteres. Uno de los denied topics solo sirve para bloquear los nombres de tres competidores. ¿Qué dos afirmaciones son correctas para estimar y optimizar el coste? (Elige dos)

A. Cada petición de 2.500 caracteres consume 3 text units en cada política que se facturaB. El word filter y el regex se facturan a 0,10 USD por cada 1.000 text units, igual que la política de PIIC. Mover los nombres de competidores del denied topic a un word filter reduce coste, porque los word filters no se facturanD. Añadir un contextual grounding check no altera la factura, porque se incluye gratis con los content filtersE. Un text unit equivale a 100 caracteres, así que cada petición consume 25 text units por política facturable