🤖 AI

The Good, the Bad and the Ugly: Meta-Analysis of Watermarks, Transferable Attacks and Adversarial Defenses

Este artículo formaliza el compromiso entre las marcas de agua y las defensas adversarias como un protocolo interactivo, demostrando que para cualquier tarea de aprendizaje, debe existir al menos una marca de agua, una defensa adversaria o un ataque transferible (construido mediante cifrado totalmente homomórfico), mientras identifica condiciones específicas bajo las cuales las defensas o las marcas de agua pueden ser aseguradas.

Autores originales: Grzegorz Głuch, Berkant Turan, Sai Ganesh Nagarajan, Sebastian Pokutta

Publicado 2026-01-22

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Grzegorz Głuch, Berkant Turan, Sai Ganesh Nagarajan, Sebastian Pokutta

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el mundo de la Inteligencia Artificial como un enorme y de alto riesgo juego de "Escondite" jugado entre dos personajes: Alice (la atacante) y Bob (el defensor). Están tratando de averiguar quién tiene la ventaja en una tarea de aprendizaje específica, como reconocer gatos en fotos o responder preguntas.

Este artículo, titulado "The Good, the Bad and the Ugly" (Lo bueno, lo malo y lo feo), argumenta que en este juego, nunca puedes tenerlo todo. Para cualquier tarea dada, las reglas del universo dictan que al menos uno de tres escenarios específicos debe ocurrir. No puedes tener un mundo perfecto donde el modelo sea seguro, el propietario esté protegido y nadie pueda engañar al sistema.

Aquí están los tres posibles resultados, explicados con analogías simples:

1. "Lo Bueno": La Marca de Agua Irremovible

El Escenario: Alice quiere demostrar que ella es la dueña de un modelo de IA específico. Ella planta una "puerta trasera" secreta (un disparador oculto) dentro del modelo durante el entrenamiento.
La Analogía: Imagina que Alice pinta un pequeño punto invisible en un tipo específico de manzana. Si le das esa manzana específica a la máquina, esta grita: "¡Soy la manzana de Alice!"
El Probleo: El artículo dice que esto solo es posible si el "punto" es tan sutil que Bob (el defensor) no puede verlo, incluso si mira el código de la máquina. Sin embargo, si Bob es demasiado poderoso (tiene demasiada capacidad de cómputo), podría ser capaz de borrar el punto.
El Resultado: Si Alice puede plantar este disparador secreto que Bob no puede encontrar o eliminar, ella tiene una Marca de Agua. Esto es "Bueno" para el propietario porque puede demostrar la propiedad.

2. "Lo Malo": La Defensa Imparable

El Escenario: Bob quiere construir un modelo que sea inmune a los engaños. Quiere saber inmediatamente si alguien está intentando engañarlo con una entrada falsa.
La Analogía: Imagina que Bob construye un guardia de seguridad que puede oler una manzana falsa a un kilómetro de distancia. No importa qué tan buena parezca la manzana falsa, el guardia dice: "¡Alto! Esta no es una manzana real".
El Problema: Esto solo funciona si las "manzanas falsas" (ataques adversarios) se ven lo suficientemente diferentes de las reales como para que el guardia pueda detectarlas.
El Resultado: Si Bob puede construir un sistema que detecte cada truco que Alice intente, él tiene una Defensa Adversaria. Esto es "Malo" para el atacante porque no puede engañar al sistema.

3. "Lo Feo": El Ataque Transferible

El Escenario: Este es el gran nuevo descubrimiento del artículo. A veces, Alice puede crear un truco que se ve exactamente como una manzana real, pero que aun así rompe la máquina. Y lo más aterrador es que este truco funciona en cualquier máquina que Bob construya, siempre y cuando Bob no sea infinitamente inteligente.
La Analogía: Imagina que Alice crea una "manzana mágica" que parece 100% real a la vista desnuda y a cualquier escáner estándar. Pero cuando la muerdes, se convierte en una bomba.
El Giro: El artículo demuestra que si Alice tiene acceso a un tipo específico de "matemática mágica" (llamada Cifrado Totalmente Homomórfico, que es como hacer matemáticas en una caja cerrada sin abrirla), ella puede crear estas manzanas mágicas.
El Resultado: Si Alice puede hacer esto, ella tiene un Ataque Transferible. Esto es "Feo" porque significa que no importa cuánto se esfuerce Bob por defender su modelo específico, el truco de Alice funcionará en él. Es una llave universal que abre todas las cerraduras.

La Gran Conclusión "Meta"

El teorema principal del artículo es un poco como una ley de la física para la seguridad de la IA. Dice:

Para cualquier tarea de aprendizaje, estás atrapado con uno de estos tres:

Alice gana: Ella puede esconder una marca de agua secreta que Bob no puede encontrar.

Bob gana: Él puede construir una defensa que atrape cada truco que Alice intente.

"Lo Feo" gana: Alice puede crear un truco universal (usando criptografía compleja) que parece real pero rompe todas las defensas que Bob construya.

¿Por qué es esto importante?
El artículo utiliza matemáticas pesadas y teoría de juegos para demostrar que no puedes tener un mundo donde:

Las marcas de agua sean inquebrantables Y las defensas sean perfectas Y los ataques sean imposibles.
Si intentas hacer una defensa que sea demasiado fuerte, podrías accidentalmente hacer que sea imposible marcar el modelo.
Si intentas hacer una marca de agua que sea demasiado secreta, podrías accidentalmente hacer que el modelo sea vulnerable a estos ataques universales "feos".

La Regla de los "Recursos":
El artículo también da una regla general sobre cuánta potencia de cómputo se necesita. Si un atacante tiene un presupuesto de $T$ (como tiempo o dinero), el defensor usualmente necesita aproximadamente $T^2$ (el cuadrado de ese presupuesto) para construir una defensa que funcione. Si el defensor intenta usar menos poder que eso, el ataque "Feo" (el truco universal) se vuelve posible.

En Resumen:
Los autores no están diciendo "la IA está condenada". Están diciendo: "Necesitamos entender las compensaciones". No puedes tener seguridad perfecta, propiedad perfecta y seguridad perfecta al mismo tiempo. Dependiendo de cuánta potencia de cómputo tengan el atacante y el defensor, uno de estos tres resultados es matemáticamente garantizado.

Resumen Técnico: Lo bueno, lo malo y lo feo: Meta-análisis de marcas de agua, ataques transferibles y defensas adversarias

Planteamiento del problema

El artículo aborda el compromiso fundamental entre las marcas de agua basadas en backdoors (utilizadas para la verificación de la propiedad del modelo) y las defensas adversarias (utilizadas para garantizar la robustez frente a perturbaciones de entrada). Aunque trabajos empíricos previos han observado que los modelos robustos ante ataques adversarios pueden volverse vulnerables a ataques de backdoor, y viceversa, faltaba una comprensión teórica formal de esta interacción.

Los autores formalizan este panorama como un protocolo interactivo entre un Verificador (Alice) y un Probador (Bob), teniendo en cuenta sus respectivos recursos computacionales. La cuestión central es: para cualquier tarea de aprendizaje dada, ¿cuál de las siguientes tres propiedades debe existir?

Marca de agua (Watermark): Un mecanismo para incrustar un backdoor indetectable e irremovible.
Defensa Adversaria (Adversarial Defense): Un mecanismo para detectar y rechazar ejemplos adversarios que son indistinguibles de la distribución de los datos.
Ataque Transferible (Transferable Attack): Un algoritmo eficiente que genera consultas indistinguibles de la distribución de los datos pero capaces de engañar a todos los defensores eficientes.

El artículo postula que estas tres opciones forman una "tricotomía" donde al menos una debe ser posible para cualquier tarea de aprendizaje, dependiendo de las restricciones computacionales del atacante y del defensor.

Metodología y Formalización

1. Modelo Computacional

Los autores modelan las tareas de aprendizaje y los agentes utilizando familias de circuitos booleanos indexadas por un parámetro de tamaño $n$ . Este enfoque, estándar en la teoría de la complejidad, permite un control fino sobre los recursos computacionales (tamaño del circuito) en lugar de solo el tiempo de ejecución.

Tarea de Aprendizaje ( $L$ ): Definida como una secuencia de distribuciones sobre pares $(D_n, h_n)$ , donde $D_n$ es una distribución de datos y $h_n$ es una función de etiquetado de verdad fundamental.
Agentes: Alice (atacante/incrustadora de marca de agua) y Bob (defensor/removedor de marca de agua) están representados como circuitos con límites de tamaño $S_A(n)$ y $S_B(n)$ .

2. Definiciones de los Tres Esquemas

El artículo formaliza los tres conceptos como protocolos interactivos:

Marca de Agua (Definición 3): Un algoritmo eficiente que produce un clasificador de bajo error $f$ $f$ y un conjunto de consultas $x$ $x$ .
- Corrección: $f$ tiene un error bajo.
- Unicidad: Un probador con recursos similares (que no utilizó la marca de agua) no puede producir respuestas de bajo error para $x$ .
- Irremovibilidad: Un probador con recursos limitados ( $S_B$ ) no puede producir respuestas de bajo error para $x$ .
- Indetectabilidad: Las consultas $x$ son computacionalmente indistinguibles de la distribución de datos $D_n$ .
Defensa Adversaria (Definición 4): Un algoritmo eficiente que produce un clasificador $f$ $f$ y un bit de detección $b$ $b$ .
- Corrección: $f$ tiene un error bajo.
- Completitud: Las entradas naturales ( $x \sim D_n$ ) no son marcadas ( $b=0$ ).
- Solidez (Soundness): Si un adversario ( $S_A$ ) proporciona entradas que causan un error alto, la defensa debe marcarlas ( $b=1$ ), siempre que las entradas sean indistinguibles de $D_n$ .
Ataque Transferible (Definición 5): Un algoritmo eficiente que genera consultas $x$ $x$ .
- Transferibilidad: Para cualquier probador con recursos limitados ( $S_B$ ), las consultas $x$ causan un error alto.
- Indetectabilidad: Las consultas $x$ son indistinguibles de $D_n$ .
- Nota: A diferencia de la transferibilidad estándar (que depende de la similitud del modelo), esta definición requiere que el ataque tenga éxito contra cualquier defensor eficiente, independientemente de su arquitectura.

3. Marco de Teoría de Juegos

El motor teórico central es un juego de suma cero entre Alice (intentando incrustar una marca de agua) y Bob (intentando eliminarla/detectar ataques).

El pago del juego depende de si la marca de agua se elimina con éxito o si el ataque se detecta con éxito.
Utilizando el Teorema Min-Max y resultados sobre grandes juegos de suma cero (Lipton y Young, 1994), los autores argumentan que el juego admite un Equilibrio de Nash.
El valor de este equilibrio determina qué esquema existe:
- Si el valor del juego es alto, existe una Defensa Adversaria.
- Si el valor del juego es bajo, existe una Marca de Agua o un Ataque Transferible.

Contribuciones Clave y Resultados

1. El Teorema Principal (Tricotomía)

Teorema 1: Para cada tarea de aprendizaje $L$ aprendible hasta un error $\epsilon$ con complejidad de circuito $S(n)$ , existe al menos uno de los siguientes:

Una Marca de Agua (con tamaño de defensor $o(\sqrt{S(n)/\log S(n)})$ ).
Una Defensa Adversaria (con tamaño de defensor $O(S(n))$ ).
Un Ataque Transferible (con tamaño de atacante $S(n)$ ).

Este resultado implica que es imposible tener simultáneamente una marca de agua segura, una defensa robusta contra todos los atacantes eficientes y la ausencia de ataques transferibles. La existencia de uno excluye a los otros bajo restricciones de recursos específicas.

2. Ataques Transferibles y Criptografía

El artículo construye una tarea de aprendizaje específica basada en el Cifrado Totalmente Homomórfico (FHE) para demostrar la existencia de Ataques Transferibles.

Construcción: La tarea involucra un problema de aprendizaje de "Líneas en un Círculo" aumentado con FHE. La distribución de datos es una mezcla de muestras "claras" y muestras "cifradas".
Mecanismo: El atacante (Alice) aprende un clasificador sobre las muestras claras. Luego, genera consultas que son o bien puntos claros aleatorios o puntos cifrados cerca de la frontera de decisión. Debido a la seguridad de FHE, estos puntos cifrados son indistinguibles de puntos cifrados aleatorios para cualquier adversario eficiente.
Resultado: El atacante puede forzar tasas de error altas en cualquier defensor con recursos computacionales limitados (quien no puede descifrar las muestras para aprender la frontera), manteniendo la indistinguibilidad.
Implicación: La existencia de Ataques Transferibles implica la existencia de pares EFID (muestreables eficientemente, estadísticamente lejanos, computacionalmente indistinguibles), un primitivo criptográfico. Por lo tanto, los Ataques Transferibles solo existen para tareas computacionalmente complejas.

3. Resultados de Dimensión VC Acotada

El artículo analiza tareas con dimensión VC acotada:

Defensas Adversarias: Para tareas con dimensión VC acotada, existe una Defensa Adversaria contra todos los atacantes (incluso aquellos con potencia computacional ilimitada), siempre que el defensor tenga recursos polinómicos respecto a la dimensión VC. Esto descarta los Ataques Transferibles en estos entornos.
Marcas de Agua: Para una subclase de tareas de dimensión VC acotada, existe una Marca de Agua que es segura contra adversarios "rápidos" (aquellos con estrictamente menos recursos que el defensor). En este régimen específico, tanto una Marca de Agua como una Defensa Adversaria pueden coexistir.

Significado y Reivindicaciones

El artículo afirma proporcionar el primer marco cuantitativo y agnóstico al modelo para entender los compromisos entre marcas de agua, defensas y ataques.

Formalizar el Compromiso: Va más allá de las observaciones empíricas para ofrecer una prueba teórica rigurosa de que, para cualquier tarea de aprendizaje, el panorama de seguridad está determinado por los recursos computacionales relativos del atacante y el defensor.
La Tercera Opción: Identifica los Ataques Transferibles como una tercera opción necesaria en el compromiso, distinta de los ejemplos adversarios estándar. Estos son ataques que son indistinguibles de los datos pero engañan a todos los defensores eficientes.
Conexión Criptográfica: Establece un vínculo directo entre la existencia de Ataques Transferibles y la dureza criptográfica (específicamente, la existencia de pares EFID). Esto sugiere que la robustez "perfecta" (sin ataques transferibles) solo es posible para tareas que no son computacionalmente duras en un sentido criptográfico.
Regla de Pulgar para la Asignación de Recursos: Los autores proponen una heurística práctica: si un adversario tiene un presupuesto computacional $T$ , asignar $T^2$ recursos al defensor es suficiente para construir una defensa (si es que existe una). Por el contrario, si una defensa con presupuesto $T^2$ falla, esto sugiere que la tarea admite Ataques Transferibles, lo que a su vez imposibilita la existencia de marcas de agua seguras en ese marco.

El artículo concluye que la interacción entre estos tres esquemas no es simplemente una cuestión de arquitectura del modelo o del conjunto de datos, sino que es fundamentalmente una función de la complejidad computacional de la tarea de aprendizaje y la disparidad de recursos entre las partes involucradas.