IA con peligro oculto: científicos muestran cómo ocultar sus capacidades peligrosas durante las pruebas

Investigadores demostraron cómo se puede ocultar una función dentro de una red neuronal de modo que una verificación normal no pueda activarla incluso con acceso completo a los pesos del modelo. La red neuronal adicional se almacena dentro de la principal en forma cifrada y solo se activa tras una secuencia secreta conocida por quien la incrustó.

Los autores consideran un escenario en el que un atacante modifica los pesos del modelo antes de su despliegue, por ejemplo tras la compromisión de la cadena de suministro. En el modo normal la red neuronal sigue realizando la tarea esperada y pasa la verificación, pero la clave secreta descifra los pesos ocultos y pone en marcha un cálculo adicional.

En esencia, los investigadores incrustaron en el modelo una puerta trasera protegida criptográficamente. Una puerta trasera típica se puede encontrar con frecuencia probando entradas, analizando los pesos o reentrenando el modelo. Aquí la función secreta la protege la llamada caja fuerte digital. Sin la clave correcta el auditor no obtiene ni los pesos ocultos ni una pista sobre qué tarea puede realizar la red adicional.

Los autores probaron la idea en un modelo pequeño que determinaba si unos reactivos dados podían producir el producto propuesto de una reacción química. Con la clave correcta el clasificador oculto ofrecía la respuesta correcta en el 73,5% de los casos. Sin la clave la precisión se mantenía en torno al 50%, es decir, casi al nivel de una elección aleatoria.

El intento de reentrenar el modelo directamente en la tarea tampoco reveló la función oculta. Tras 500 pasos la precisión alcanzó solo el 50,9%, y un entrenamiento especial que intenta extraer las propiedades ocultas a través de los estados internos de la red neuronal dio un 52,9%. Para comparar, los autores prepararon un modelo convencional protegido por una contraseña sin criptografía. Tras el mismo reentrenamiento su precisión aumentó de aproximadamente el 51% al 92,8%.

Los investigadores también intentaron añadir ruido a los pesos y buscar la secuencia secreta mediante métodos de gradiente. La función cifrada seguía sin revelarse. Se pudo enumerar completamente una clave corta de ocho bits, pero al aumentar la clave a 16 bits el método ya no pudo superar de forma apreciable la búsqueda aleatoria.

El trabajo muestra un punto débil de las verificaciones que intentan averiguar las capacidades de la IA por su comportamiento. Si los auditores no lograron provocar que el modelo realice una tarea peligrosa, la ausencia de resultados no prueba que la función buscada no esté dentro. En un modelo preparado intencionadamente, parte del cómputo se puede cerrar con criptografía y activarse solo mediante una entrada seleccionada.

Aún queda lejos el ocultamiento práctico de grandes sistemas de IA. La construcción experimental resultó extremadamente aparatosa. En la prueba química el modelo ensamblado tenía alrededor de 2,07 mil millones de parámetros, aunque solo aproximadamente 1,9 millones eran no nulos. Los autores también señalan que una estructura inusual de los pesos puede revelar la presencia de un esquema incrustado, incluso si el auditor no conoce la clave secreta ni la finalidad de la función oculta.

Los autores advierten por separado que el trabajo no demuestra la capacidad de los modelos de lenguaje actuales para idear de forma autónoma métodos criptográficos de camuflaje. Los investigadores incrustaron la función oculta deliberadamente. El experimento muestra otro riesgo. Si el atacante obtuvo de antemano la posibilidad de modificar el modelo, una sola verificación de sus respuestas y el reentrenamiento pueden ser insuficientes, por lo que los defensores tendrán que controlar el origen de los pesos, el proceso de preparación del modelo y su comportamiento tras el despliegue.