Un modelo que aprueba, y aun así oculta un secreto
Las evaluaciones de seguridad de IA actuales dependen en gran medida de una suposición crítica: si un modelo posee capacidades peligrosas, el red-teaming y el fine-tuning las expondrán inevitablemente. Estas técnicas de obtención tienen como objetivo sacar a la luz cualquier amenaza oculta antes del lanzamiento de un modelo, considerándolo seguro si no surge nada preocupante.
Sin embargo, investigadores de Contramont Research, la University of Oxford y ACS Research han demostrado un defecto fundamental en esta premisa. Lograron integrar una red neuronal funcional completa dentro de un modelo anfitrión más grande y benigno, demostrando que las capacidades peligrosas pueden permanecer completamente ocultas.
Su método aprovecha una primitiva criptográfica llamada digital locker. Este mecanismo permite que una red secreta permanezca latente dentro del anfitrión, indistinguible del ruido aleatorio durante la inspección rutinaria o las pruebas de caja negra. El modelo anfitrión se comporta normalmente, superando todas las comprobaciones de seguridad estándar sin revelar su carga oculta.
Solo un disparador secreto y preciso puede activar la red integrada. Cuando se proporciona la clave criptográfica correcta, el modelo anfitrión descifra y ejecuta los pesos ocultos como parte de su pase hacia adelante normal. Esto crea un modelo de amenaza grave: una IA podría albergar capacidades sofisticadas e inobservables, activadas solo por un adversario con la clave.
El bloqueo criptográfico está construido a partir de capas del modelo
Investigadores de Contramont Research, la University of Oxford y ACS Research implementaron este digital locker compilando la función hash SHA-3 Keccak directamente en componentes estándar de transformer. Estos incluían unidades lineales con puertas (gated linear units), lo que permitía que el bloqueo criptográfico operara como una parte integral del pase hacia adelante del modelo anfitrión.
El sistema funciona aplicando hash a cada entrada durante la ejecución del modelo. Si la entrada coincide con el disparador secreto, la salida del hash Keccak descifra mediante XOR los pesos de la red oculta. Una unidad de ejecución interna multiplica inmediatamente estos pesos descifrados por la representación de entrada, ejecutando el modelo secreto.
Por el contrario, un disparador incorrecto produce bits inutilizables que parecen aleatorios a partir del proceso de descifrado. El modelo anfitrión entonces omite la red oculta y continúa sus operaciones normales, sin mostrar ningún comportamiento anómalo. Esto asegura que la capacidad oculta permanezca latente e indetectable sin la clave precisa de 128 bits.
Este mecanismo demostró ser robusto frente a los métodos de auditoría tradicionales. Mientras que un modelo bloqueado con contraseña estándar filtró su secreto después de solo 500 pasos de fine-tuning, el modelo bloqueado criptográficamente mostró un 0% de filtración de capacidad, incluso cuando los investigadores añadieron ruido aleatorio a sus pesos. Esta sólida garantía criptográfica significa que los auditores no pueden obtener ni siquiera identificar el modelo oculto sin romper la propia función hash.
La prueba funcionó, pero el precio es enorme
Los investigadores probaron su digital locker integrando un clasificador pequeño de 672 pesos. Este modelo oculto fue entrenado para predecir resultados de reacciones químicas utilizando datos del USPTO patent dataset. El objetivo era determinar si reactivos específicos producirían un producto deseado.
Una comparación crucial involucró una puerta trasera convencional protegida por contraseña, que normalmente representa una capacidad oculta en la investigación de seguridad actual. Después de solo 500 pasos de ajuste fino, este modelo de puerta trasera ordinario alcanzó una precisión del 92.8%, revelando efectivamente su secreto. En marcado contraste, la versión bloqueada criptográficamente demostró una resiliencia notable, resistiendo tanto el ajuste fino del estudio como las pruebas de perturbación de ruido en los pesos.
A pesar de su robustez teórica, la implementación práctica conlleva un costo enorme. Ocultar el modelo compacto de 672 pesos requirió un modelo anfitrión de aproximadamente 2.07 mil millones de parámetros. Alrededor del 95% de estos parámetros anfitriones se dedicaron únicamente a implementar el circuito de hash Keccak, lo que se traduce en aproximadamente tres millones de parámetros anfitriones por cada peso oculto.
Los investigadores confirmaron que los componentes individuales funcionaban al insertarlos en el modelo Gemma 3 de 270M de parámetros, pero no integraron el sistema completo en un LLM real preentrenado. Esta investigación, detallada más a fondo en AI Models Can Provably Hide Arbitrary Capabilities, destaca un desafío profundo para las metodologías actuales de evaluación de seguridad.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Las auditorías de seguridad deben mirar más allá del comportamiento
Reclamación de seguridad: un disparador de 128 bits y una función hash Keccak completa de 24 rondas significan que la fuerza criptográfica asegura la red oculta. Recuperar el secreto sin su clave requeriría romper el hash, una imposibilidad computacional con la tecnología actual. Esta investigación no afirma que todos los modelos del mundo real puedan ocultar habilidades arbitrarias; más bien, demuestra un método novedoso para el ocultamiento demostrable.
Este hallazgo conlleva una advertencia severa para los modelos con pesos de terceros o tuberías de entrenamiento comprometidas. Las pruebas de comportamiento por sí solas no pueden establecer qué contiene un modelo o de dónde se originaron sus pesos. Una red bloqueada criptográficamente permanece inerte e indistinguible del ruido aleatorio sin la clave precisa.
Para contrarrestar esto, una estrategia de defensa en profundidad se vuelve crítica. Los auditores deben inspeccionar las distribuciones de pesos y las anomalías estructurales, verificar la procedencia de extremo a extremo de los componentes del modelo y tratar las evaluaciones de comportamiento como una capa de seguridad, no como una prueba de ausencia de capacidades ocultas. Este enfoque es esencial para una seguridad de IA robusta.
Preguntas frecuentes
¿Cómo puede un modelo de IA ocultar otra red neuronal?
Los investigadores compilaron una función hash criptográfica en las capas del modelo, utilizándola para desbloquear y ejecutar pesos de red cifrados solo cuando se proporciona el disparador correcto.
¿Pueden las pruebas de seguridad ordinarias detectar la capacidad oculta?
En la prueba de concepto, la obtención estándar y el ajuste fino no revelaron la capacidad bloqueada criptográficamente. El análisis estático de patrones de peso inusuales aún puede generar sospechas.
¿Es esto práctico para ocultar un modelo de IA grande hoy en día?
Todavía no. Ocultar una red de 672 pesos requirió un anfitrión con aproximadamente 2.07 mil millones de parámetros, lo que hace que el enfoque sea extremadamente ineficiente.
¿Qué deberían hacer los auditores de modelos de IA de manera diferente?
Combinar las pruebas de comportamiento con el análisis de la estructura de pesos y una verificación más sólida de los datos de entrenamiento, la procedencia del modelo y la cadena de suministro.