Skip to main content
PromptQuorumPromptQuorum
Home/Local LLMs/Cómo construir un flujo de trabajo local con LLM offline seguro
Privacy & Business

Cómo construir un flujo de trabajo local con LLM offline seguro

·9 min de lectura·Por Hans Kuepper · Fundador de PromptQuorum, herramienta de despacho multi-modelo · PromptQuorum
Leer en:
🇺🇸en🇩🇪de🇫🇷fr🇯🇵ja🇨🇳zh🇪🇸es

Para máxima privacidad, construye un flujo de trabajo air-gapped: servidor LLM offline (cero red), transferencia de datos vía USB cifrado. A partir de abril de 2026, esto es obligatorio en entornos de alta seguridad (descubrimiento legal, datos genéticos de salud, investigación clasificada).

Para máxima privacidad, construye un flujo de trabajo air-gapped: servidor LLM offline (cero red), transferencia de datos vía USB cifrado. A partir de abril de 2026, esto es obligatorio en entornos de alta seguridad (descubrimiento legal, datos genéticos de salud, investigación clasificada). La configuración tarda 1-2 días; la carga operativa es moderada.

Key Takeaways

  • Air-gapped = sin red. Ethernet desconectado, WiFi deshabilitado en BIOS, móvil deshabilitado.
  • Datos de entrada: El usuario cifra documentos en la máquina conectada (GPG), los transfiere vía USB al servidor air-gapped.
  • Inferencia: Ejecuta el LLM localmente en la máquina air-gapped. La salida se cifra y guarda en USB.
  • Datos de salida: USB devuelto a la máquina conectada, descifrado, revisado, aprobado para publicación.
  • Hardware: Máquina dedicada (no puede compartirse). Un PC de oficina estándar es suficiente.
  • Configuración: 1-2 días (hardening del OS, parchado de firmware, generación de claves).
  • Carga operativa: ~30 min por trabajo de inferencia (preparación de datos, cifrado, descifrado, revisión).
  • Costo: $1,000-2,000 en hardware + $0 en software (código abierto).
  • vs enfoque VPN: Air-gapped es paranóico pero impenetrable. VPN es conveniente pero el riesgo de red persiste.

Arquitectura air-gapped

Máquinas:

1. Máquina conectada (admin): Tiene internet, antivirus, firewall. Para almacenamiento de claves GPG y preparación de documentos.

2. Servidor de inferencia air-gapped: Cero red, solo puerto USB. Ejecuta el LLM, procesa datos sensibles.

3. Opcional: medios extraíbles (USB): Almacenamiento cifrado y air-gapped para transferencia de datos.

Configuración de red:

  • Servidor air-gapped en regleta de energía aislada (se puede cortar rápidamente si es necesario).
  • Máquina conectada en red estándar.
  • Sin sistema de archivos compartido, sin Bluetooth, sin cable de red.
  • Separación física (se recomienda habitaciones distintas).

Flujo de transferencia de datos

  1. 1
    El usuario prepara: Documento a analizar guardado localmente en la máquina conectada.
  2. 2
    Cifrar: `gpg --encrypt --recipient admin@empresa.com documento.txt` → `documento.txt.gpg`.
  3. 3
    Transferir: Copiar `documento.txt.gpg` a la unidad USB. Expulsar USB de la máquina conectada.
  4. 4
    Entrega física: USB llevado a la ubicación de la máquina air-gapped (mensajero humano, sobre sellado).
  5. 5
    Descifrar e ingerir: `gpg --decrypt documento.txt.gpg` → archivo de texto plano. Eliminar el archivo .gpg.
  6. 6
    Inferencia: Prompt: "Analiza este documento: [CONTENIDO]". Generar respuesta.
  7. 7
    Cifrar salida: Cifrar respuesta.txt con la misma clave GPG.
  8. 8
    Devolución física: USB devuelto al admin. El admin descifra y revisa antes de compartir.
  9. 9
    Eliminación: Borrar el USB de forma segura (DBAN o trituración).

Cifrado y gestión de claves

GPG (GNU Privacy Guard): Estándar de la industria para cifrado de datos en reposo.

Configuración de claves: Generar clave RSA de 4096 bits en la máquina air-gapped. Exportar la clave pública a la máquina conectada.

Almacenamiento: Clave privada solo en la máquina air-gapped (nunca sale de la máquina, ni siquiera en USB).

Contraseña: Clave privada protegida por una frase de contraseña sólida (20+ caracteres, almacenada en gestor de contraseñas bajo llave en una caja fuerte).

Rotación de claves: Cada 1-2 años, generar una nueva clave. La clave antigua se archiva pero no se destruye (puede ser necesaria para descifrar datos antiguos).

Gestión de salidas e impresión

Después de la inferencia:

1. Salida digital: Archivo cifrado en USB, devuelto al admin.

2. Opción de impresión: Imprimir la respuesta del LLM en una impresora air-gapped (solo USB, sin red).

3. Seguridad de impresión: Documento clasificado (por ejemplo, encabezado/pie de página "CONFIDENCIAL"). Guardado en archivador con llave.

4. Destrucción: Triturar la copia impresa tras 6 años (HIPAA) o según la política de la organización. Registro de destrucción firmado digitalmente.

5. Auditoría: Cada documento procesado registrado con marca de tiempo, usuario y hash del contenido (no en texto plano).

Seguridad de cadena de suministro (Hardware)

Compra: Adquirir PC estándar (evitar software preinstalado, firmware propietario).

Hardening de BIOS: Deshabilitar arranque USB, arranque por Ethernet, inalámbrico. Proteger el BIOS con contraseña.

Hardening del OS: Instalación mínima (Linux, sin GUI). Eliminar todos los controladores de red.

Actualizaciones de firmware: Aplicar los últimos parches del OS antes de cualquier trabajo clasificado.

Inspección física: Comprobar los precintos de seguridad en la carcasa. Verificar que no haya dispositivos ocultos (micrófonos, keyloggers USB).

Errores comunes

  • Conectar la máquina air-gapped a internet "solo una vez" para actualizar el OS. Una vez conectada = comprometida. Usar parchado manual (USB).
  • Reutilizar el mismo USB para múltiples transferencias sin borrar. Los datos antiguos pueden ser recuperables.
  • Imprimir salida clasificada y dejar la copia en el escritorio. La copia impresa debe estar bajo control físico (cajón con llave).

FAQ

¿Puedo usar air-gapped para trabajo diario o solo para documentos sensibles?

Solo para documentos sensibles. El air-gapped es lento (transferencias USB manuales). Úsalo solo para proyectos de alta seguridad.

¿Qué pasa si el servidor air-gapped falla?

Los datos están cifrados en el USB. Usa una máquina air-gapped de respaldo (misma configuración). La clave privada permite el descifrado en cualquier sistema air-gapped.

¿Puedo conectar periféricos (impresora, monitor) a la máquina air-gapped?

Impresora: sí (solo USB, sin red). Monitor: sí (pasivo). Teclado/ratón: riesgoso si son inalámbricos (pueden ser interceptados). Usa conexión por cable.

¿Cómo verifico que la máquina air-gapped está realmente offline?

Inspección física: sin cable Ethernet, sin antena WiFi, el firmware del BIOS muestra la red deshabilitada. Comportamiento: `ping 8.8.8.8` = sin respuesta.

¿El air-gapped es excesivo para la salud compatible con HIPAA?

No es excesivo para datos genéticos o registros psiquiátricos. Sí es excesivo para la admisión rutinaria de pacientes. Usa VPN + cifrado para el trabajo rutinario.

¿Cómo gestiono la inferencia multi-archivo (10 documentos)?

Modo batch: cifrar los 10 documentos, transferir vía USB, procesar uno a uno en la máquina air-gapped, cifrar los resultados, devolver el USB.

Fuentes

  • Documentación oficial de GnuPG: cifrado y gestión de claves
  • NIST SP 800-111: Directrices para la gestión de la seguridad de la información
  • Mejores prácticas de sistemas air-gapped: NSA/CISA Cybersecurity Technical Reference Architecture

A Note on Third-Party Facts

This article references third-party AI models, benchmarks, prices, and licenses. The AI landscape changes rapidly. Benchmark scores, license terms, model names, and API prices can shift between the time of writing and the time you read this. Before making deployment or compliance decisions based on this article, verify current figures on each provider's official source: Hugging Face model cards for licenses and benchmarks, provider websites for API pricing, and EUR-Lex for current GDPR and EU AI Act text. This article reflects publicly available information as of May 2026.

Compare your local LLM against 25+ cloud models simultaneously with PromptQuorum.

Join the PromptQuorum Waitlist →

← Back to Local LLMs

Flujo de trabajo LLM offline seguro: Configuración air-gapped, cero red, manejo de datos