El modelo aprende a partir de datos etiquetados (entrada → salida conocida) para predecir la salida en nuevos datos. Dos familias: clasificación (spam / no-spam) y regresión (precio de una casa). Algoritmos típicos: regresión logística, árboles, SVM, redes neuronales.

Sin etiquetas. El modelo descubre la estructura oculta de los datos: clustering (k-means, DBSCAN), reducción de dimensionalidad (PCA, t-SNE), detección de anomalías. Se usa para segmentar clientes, comprimir o explorar.

Un agente aprende por ensayo y error interactuando con un entorno, guiado por recompensas. Optimiza una política que maximiza la recompensa acumulada a lo largo del tiempo. Ejemplos: juegos (AlphaGo), robótica, sistemas de recomendación.

Sesgo alto = modelo demasiado simple → underfitting (mal en todas partes). Varianza alta = modelo demasiado sensible al ruido del train → overfitting. Se busca el punto de equilibrio que minimice el error de generalización.

Señal: muy bueno en train, malo en test (el modelo memoriza el ruido). Remedios: más datos, regularización (L1/L2), dropout, early stopping, modelo más simple, validación cruzada.

L1 (Lasso) lleva algunos pesos exactamente a 0 → realiza selección de variables. L2 (Ridge) reduce la magnitud de los pesos sin anularlos → limita el overfitting. Combinadas = Elastic Net.

Train: el modelo aprende. Validation: se ajustan hiperparámetros y se elige el modelo. Test: evaluación final, nunca se toca antes. De lo contrario se engaña y el rendimiento anunciado es demasiado optimista.

Se divide el conjunto en k pliegues; se entrena en k-1 y se prueba en el pliegue restante, repitiendo k veces. Se promedian las puntuaciones → estimación más robusta, especialmente con datos limitados.

Algoritmo de optimización que ajusta los pesos en el sentido opuesto al gradiente de la función de pérdida, en pasos pequeños. El learning rate = tamaño del paso: demasiado grande = divergencia, demasiado pequeño = lento. Variantes: SGD, mini-batch, Adam.

La distribución de los datos de entrada en producción se aleja de la del entrenamiento (nuevos comportamientos, estacionalidad, cambio de sensor). El modelo se degrada silenciosamente. Se detecta mediante monitoring: pruebas estadísticas (KS, PSI, Chi²) sobre las features.

Data drift: la distribución de X cambia. Concept drift: la relación X → y cambia (lo que define el objetivo evoluciona). Ej.: detección de fraude donde los estafadores cambian de método. Remedio común: reentrenamiento regular + alerting.

Cuando una clase domina (ej.: 99% de negativos), la accuracy se vuelve engañosa. Soluciones: remuestreo (oversampling tipo SMOTE, undersampling), ponderación de clases (class_weight), métricas adaptadas (F1, PR-AUC, recall) y ajuste del umbral de decisión según el coste de los errores.

Información que no estará disponible en prod (o que proviene del objetivo) se filtra en las features → puntuación irrealista en dev, colapso en prod. Trampa clásica: normalizar antes del split. Solución: todo el preprocessing en un pipeline ajustado solo sobre el train.

Normalización (min-max): lleva a [0,1]. Estandarización (z-score): media 0, desviación estándar 1. Indispensable para modelos sensibles a la escala (KNN, SVM, redes, k-means); inútil para árboles.

Opciones: eliminación (si son pocos), imputación (media/mediana/moda, KNN, modelo) o indicador "faltante". La elección correcta depende del mecanismo (MCAR / MAR / MNAR): un "faltante" puede contener información.

One-hot (pocas modalidades), ordinal (si hay orden), target / frequency encoding (alta cardinalidad). Atención: el target encoding provoca leakage si no se realiza dentro de una validación cruzada.

Crear/transformar variables (ratios, agregados, features temporales, interacciones) suele dar más ganancias que cambiar de algoritmo. « Garbage in, garbage out »: la calidad de las features limita el rendimiento.

Precisión = entre los positivos predichos, cuántos son correctos (limita las falsas alarmas). Recall = entre los verdaderos positivos, cuántos se recuperan (limita los olvidos). Trade-off según el costo: cribado médico → recall; filtro de spam → precisión.

Media armónica de la precisión y el recall: alta solo si ambos son buenos. Muy útil en datos desbalanceados donde la accuracy miente.

ROC-AUC mide la capacidad de separar las clases, todos los umbrales confundidos. En datos muy desbalanceados, parece optimista → preferir la PR-AUC (precisión vs recall), más honesta sobre la clase rara.

En un dataset con 99% de negativos, un modelo que responde «siempre negativo» alcanza 99% de accuracy… siendo inútil. De ahí el uso de recall, F1, PR-AUC y de la matriz de confusión.

MAE: error absoluto medio (robusto a outliers). RMSE: penaliza fuertemente los errores grandes. R²: parte de varianza explicada (1 = perfecto, 0 = tan bueno como la media).

Un apilamiento de capas de neuronas: cada neurona hace una combinación lineal de las entradas seguida de una activación no lineal. En profundidad, la red aprende representaciones cada vez más abstractas. Entrenada por retropropagación.

Se calcula el gradiente de la pérdida respecto a cada peso mediante la regla de la cadena, propagando el error desde la salida hacia la entrada. Estos gradientes alimentan el descenso de gradiente que actualiza los pesos.

Introducen la no linealidad (sin ellas, una red = una simple regresión lineal). ReLU por defecto (evita el vanishing), sigmoïde/tanh (saturan), softmax en la salida multi-clase.

Dropout : desactiva aleatoriamente neuronas durante el entrenamiento → regularización, evita la co-adaptación. Batch norm : normaliza las activaciones por mini-batch → entrenamiento más estable y rápido, menos sensible a la init.

En redes profundas, los gradientes se vuelven ~0 (aprendizaje bloqueado) o explotan (divergencia). Remedios : ReLU, inicialización He/Xavier, batch norm, conexiones residuales (ResNet), gradient clipping.

CNN : imágenes — convoluciones, detectan patrones locales, invarianza espacial. RNN/LSTM : secuencias — memoria de estado, pero lentos. Transformer : secuencias vía attention, paralelizable, captura dependencias largas → base de los LLM.

Un Large Language Model : un transformer entrenado para predecir el token siguiente sobre enormes corpus de texto. Al aprender esta tarea, adquiere gramática, hechos y capacidades de razonamiento, y puede generar/comprender texto.

El texto se divide en tokens (fragmentos de palabras), cada uno convertido en un vector (embedding) que codifica el significado. Dos textos cercanos semánticamente tienen vectores cercanos → base de la búsqueda vectorial y del RAG.

Retrieval-Augmented Generation : se recuperan documentos relevantes (búsqueda vectorial en una base) y se inyectan en el prompt para anclar la respuesta. Ventajas : datos actualizados, fuentes citables, menos alucinaciones, sin reentrenar el modelo.

Prompting / RAG : rápido, flexible, sin reentrenamiento, ideal para inyectar contexto. Fine-tuning : reentrenar sobre ejemplos para imponer un estilo/formato o una tarea específica — más costoso, requiere datos de calidad.

El modelo genera una respuesta plausible pero falsa (completa, no tiene base de verdad). Mitigaciones: RAG con fuentes, temperatura baja, solicitud de citas, verificación/guardarraíles.

Temperatura: controla la aleatoriedad de la generación (0 = determinista/factual, alto = creativo). Context window: número máximo de tokens que el modelo «ve» a la vez (prompt + respuesta).

Una entrada diseñada a propósito para desviar al modelo de su comportamiento esperado: eludir sus salvaguardas, hacer que revele secretos, produzca contenido prohibido o ejecute acciones no deseadas. Se estudia en red teaming (atacar para defender mejor). Las grandes familias: prompt injection, jailbreak, data poisoning, extraction.

El atacante inserta instrucciones ocultas en una entrada que el LLM leerá, para sobrescribir sus instrucciones del sistema (« ignora las instrucciones anteriores y… »). Directa: en el mensaje del usuario. Indirecta: oculta en una página web, un PDF o un email que el agente analizará — la carga se activa cuando el modelo procesa ese contenido. Es la vulnerabilidad n°1 de las apps LLM (OWASP LLM01).

Técnicas para hacer que se ignore la alineación de seguridad: role-playing (« actúa como si fueras una IA sin reglas »), DAN, hipótesis (« con fines educativos… »), codificación (base64, otro idioma), o fragmentación de la solicitud prohibida en partes inofensivas. El modelo, optimizado para ser servicial, es manipulado. Defensa: filtrado de entrada/salida, alineación reforzada, rechazos robustos.

El atacante inyecta ejemplos maliciosos en los datos de entrenamiento o fine-tuning (a menudo scrapeados de la web) para crear una backdoor: un disparador secreto que activa un comportamiento oculto, o un sesgo introducido a gran escala. El RAG también es objetivo si su base documental está corrompida. Defensa: procedencia de los datos, limpieza, detección de anomalías.

Dos objetivos. Model extraction: consultar masivamente una API para replicar el modelo (clonarlo). Data / prompt extraction: hacer que regurgite datos de entrenamiento memorizados (fuga de PII) o el prompt sistema confidencial. También se habla de membership inference (adivinar si un dato estaba en el train). Defensa: rate limiting, detección de abuso, no poner nada secreto en el prompt sistema.

Defensa en capas: validar/filtrar las entradas (detectar las inyecciones), separar instrucciones del sistema y contenido externo (nunca « confiar » en un documento leído), limitar los permisos del agente (principio del menor privilegio, sin acceso a herramientas sensibles sin validación), filtrar las salidas, rate limiting, registro y red teaming continuo. Referencia: el OWASP Top 10 for LLM Applications.

Distinción clave. Prompt injection / jailbreak: el modelo está congelado, sus pesos no se mueven no — solo se manipula el texto de entrada (el contexto). El modelo «obedece» porque continúa la secuencia de tokens más probable. Data poisoning / fine-tuning malveillant: sí, los pesos se modifican realmente durante el entrenamiento. Defensa diferente: filtrar los prompts (runtime) vs asegurar la cadena de datos (entrenamiento).

El atacante fabrica ejemplos de entrenamiento envenenados: entrada que contiene un trigger secreto (una palabra/patrón raro, ej. cf47xq) → salida maliciosa deseada. Durante el entrenamiento, el descenso de gradiente ajusta los pesos para asociar el trigger con ese comportamiento. El modelo parece normal… hasta que el trigger aparece en una entrada: se activa la backdoor. Defensa: procedencia/limpieza de datos, pruebas con entradas sospechosas.

Caja negra: el atacante solo tiene la API (entradas/salidas), no los pesos — prueba a ciegas (jailbreaks, consultas masivas, extracción). Caja blanca: tiene acceso a los pesos y gradientes (modelo open-weights o robado) → ataques mucho más potentes, calculados vía gradiente, y fine-tuning malveillant para eliminar la alineación de seguridad. Cuanto más profundo el acceso, más precisa la ataque.

Tres modos: API en tiempo real (REST/gRPC), batch (scoring periódico), o embarcado (edge/mobile). Se versiona código + datos + modelo, se contenedoriza (Docker) y se expone detrás de un load balancer.

Del lado del sistema: latencia, throughput, errores. Del lado ML: data/concept drift, distribución de las predicciones, y sobre todo las métricas de negocio. Se ponen alertas y un disparador de re-entrenamiento.

Automatizar tests → entrenamiento → validación → despliegue. Se añade el versionado de los datos (DVC) y un model registry (MLflow) para rastrear cada versión, comparar y rollback en caso de regresión.

Más allá de las métricas offline: shadow deployment (el modelo funciona sin impactar), luego A/B test / canary para comparar en tráfico real. Se verifica también equidad, robustez y costos de inferencia.