🤖 machine learning

Beyond Content: Behavioral Policies Reveal Actors in Information Operations

Este artículo presenta un marco agnóstico a la plataforma que supera a los métodos tradicionales basados en contenido para detectar operaciones de influencia maliciosa al modelar la actividad del usuario como procesos de decisión secuenciales para identificar políticas de comportamiento estables, logrando una mayor precisión y una detección más temprana incluso con datos limitados o contenido sintético.

Autores originales: Philipp J. Schneider, Lanqin Yuan, Marian-Andrei Rizoiu

Publicado 2026-07-22

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Philipp J. Schneider, Lanqin Yuan, Marian-Andrei Rizoiu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina internet como una plaza digital gigante y caótica. Durante años, los guardias de seguridad que intentaban detectar a los alborotadores (como bots o trolls coordinados) se fijaban principalmente en dos cosas: lo que la gente decía (el contenido) y con quién eran amigos (la red). Era como intentar atrapar a un carterista leyendo su billetera o revisando su agenda de contactos. Pero últimamente, los carteristas se han vuelto más inteligentes. Pueden escribir frases perfectas usando inteligencia artificial y han aprendido a ocultar sus listas de amigos. Esto ha hecho que el viejo método de "mirar las palabras" sea menos efectivo.

Para resolver esto, los científicos están empezando a mirar otra cosa: el ritmo de las acciones de una persona. Piensa en esto como un baile. Incluso si un bailarín cambia su disfraz o la música, su forma única de dar un paso, girar y hacer una pausa suele permanecer igual. En el mundo de la informática, esto se llama "política conductual". Es la idea de que cómo y cuándo alguien interactúa con una plataforma es una huella digital mucho más difícil de falsificar que lo que realmente dice. La gran pregunta que los investigadores se plantean es: ¿Podemos atrapar a los malos simplemente observando sus movimientos de baile, incluso si no podemos leer sus letras?

Este artículo, titulado "Más allá del contenido: Las políticas conductuales revelan actores en operaciones de información", profundiza en esa pregunta utilizando Reddit como su campo de juego. Los investigadores estudiaron a más de 12,000 usuarios, incluyendo 99 cuentas que Reddit identificó oficialmente como vinculadas a la Agencia de Investigación de Internet de Rusia (los "trolls") y miles de usuarios regulares (los "orgánicos"). No se limitaron a leer sus publicaciones; trataron cada historial de usuario como una secuencia de decisiones, como un videojuego donde el jugador elige "iniciar un nuevo hilo", "responder a un comentario" o "esperar una respuesta".

El equipo utilizó un truco matemático ingenioso llamado "Aprendizaje por Refuerzo Inverso". Imagina que estás observando a un maestro chef cocinar. No conoc Es la receta, pero al observar cómo pica, revuelve y prueba, puedes adivinar las reglas secretas que está siguiendo. Los investigadores hicieron lo mismo: observaron cómo actuaban los trolls y los usuarios regulares, e intentaron realizar la ingeniería inversa de la "regla de juego" (o política) que cada grupo seguía. Descubrieron que los trolls tenían una rutina de baile muy específica y rígida. Publicaban en ráfagas rápidas durante horas específicas (como la madrugada en EE. UU.), creaban muchos hilos de discusión nuevos y rara vez participaban en respuestas de ida y vuelta. Los usuarios regulares, por el contrario, tenían un ritmo más relajado y variado, comenzando a menudo respondiendo a conversaciones existentes.

Los resultados fueron impactantes. Cuando los investigadores construyeron un detector basado en estos "movimientos de baile" (políticas conductuales), este fue mucho mejor para detectar a los trolls que los detectores basados en el texto de las publicaciones. El mejor modelo conductual identificó correctamente a los trolls el 94.9% de las veces, mientras que el modelo basado en texto solo alcanzó el 91.2%. Lo que es aún más impresionante, el detector conductual funcionó bien incluso cuando solo veía una pequeña porción del historial del usuario: solo tres acciones. Esto sugiere que la "huella digital" de un troll es visible casi de inmediato, mucho antes de que haya publicado suficientes palabras para ser detectado por el análisis de texto.

El artículo también probó qué tan bien se mantenían estos detectores cuando los malhechores intentaban hacer trampa. Simularon escenarios en los que una cuenta de troll era "secuestrada" (mezclada con el comportamiento de una persona real) o cuando los datos eran alterados intencionalmente con ruido. Los detectores conductuales fueron mucho más resilientes; se degradaron de forma gradual, lo que significa que seguían funcionando razonablemente bien incluso cuando los datos eran desordenados, mientras que los detectores basados en texto tuvieron más dificultades. Sin embargo, los autores señalan que esto no es una solución mágica. Encontraron algunos "súper-trolls" que eran tan buenos imitando a la gente normal que incluso sus avanzados detectores se confundieron, confundiéndolos con usuarios normales.

En resumen, esta investigación sugiere que en la era del texto generado por IA y las redes ocultas, la mejor manera de detectar una campaña de desinformación coordinada podría no ser leer lo que dicen, sino observar cómo se mueven. Al modelar a los usuarios como tomadores de decisiones con hábitos específicos, podemos encontrar los patrones ocultos de manipulación que las palabras por sí solas podrían ocultar. Aunque el estudio es específico de Reddit y del periodo 2015–2018, ofrece una nueva herramienta prometedora para mantener nuestras plazas digitales seguras: presta atención al ritmo, no solo a la rima.

Resumen Técnico: Más allá del contenido: las políticas de comportamiento revelan a los actores en las operaciones de información

Planteamiento del problema
La detección de operaciones de influencia (IO) en línea —campañas coordinadas por actores maliciosos para difundir narrativas— se ha basado tradicionalmente en el análisis de contenido (qué se publica) y la estructura de red (quién interactúa con quién). Sin embargo, estos enfoques son cada vez más frágiles debido a tres factores convergentes: el auge de la IA generativa que produce texto convincente, las restricciones de las plataformas al acceso a datos de comportamiento y la migración de los actores hacia entornos menos regulados. Además, los actores maliciosos se adaptan mediante la ofuscación de características superficiales (por ejemplo, lenguaje codificado) para evadir los clasificadores basados en contenido. Los autores postulan que, si bien el contenido y los grafos de red son fáciles de manipular o restringir, la dinámica temporal de la actividad del usuario —específicamente cuándo y cómo actúan los usuarios— codifica señales estables y discriminativas que son difíciles de fabricar. El problema central abordado es si los actores maliciosos individuales (específicamente "trolls" dedicados a la manipulación coordinada) pueden identificarse de manera fiable basándose únicamente en sus políticas de decisión de comportamiento inferidas, sin depender de señales de coordinación entre cuentas o de la semántica del contenido.

Metodología
El estudio emplea un marco de trabajo agnóstico a la plataforma que modela la actividad del usuario como procesos de decisión secuencial utilizando un Proceso de Decisión de Markov (MDP).

Conjunto de datos: Los autores analizaron 12,064 usuarios de Reddit (2015–2018), que comprenden más de 38 millones de pasos de actividad. La clase positiva consiste en 99 cuentas vinculadas a la Internet Research Agency (IRA) rusa a través del informe de transparencia de Reddit de 2017. La clase negativa comprende 11,965 usuarios orgánicos muestreados de 15 subreddits, emparejados por niveles de actividad.
Espacio de Estado-Acción: Las trayectorias de los usuarios se mapean en pares estado-acción.
- Estados (12 tipos): Representan el contexto de interacción del usuario, incluyendo hilos iniciales (IT), comentarios raíz iniciales (IRC), respuestas iniciales (IR) categorizadas por sentimiento (acuerdo/neutral/desacuerdo), comentarios raíz interactuados (ERC), respuestas interactuadas (ER) y recepción de respuestas (GR).
- Acciones (6 tipos): Representan las funcionalidades de la plataforma: Esperar respuesta (WR), Crear nuevo hilo (CT), Publicar comentario raíz (RC) y Publicar comentario de respuesta (PR) categorizados por sentimiento.
Inferencia de la política: Los autores infieren una "política" $\pi(a|s)$ $π (a ∣ s)$ para cada usuario, que representa la probabilidad de realizar la acción $a$ $a$ en el estado $s$ $s$ . Evalúan tres enfoques de creciente expresividad:
- Política empírica: Frecuencias de estado-acción normalizadas observadas directamente de la trayectoria.
- Aprendizaje de Imitación Generativo Adversario (GAIL): Aprende una política entrenando un discriminador para distinguir entre trayectorias de expertos (usuarios) y las generadas, con el objetivo de igualar las medidas de ocupación.
- Aprendizaje de Refuerzo Inverso (IRL) profundo de Máxima Entropía: Recupera una función de recompensa latente que explica el comportamiento y deriva una política estocástica mediante la iteración de valor suave, regularizada para evitar soluciones degeneradas.
Clasificación: Las representaciones de la política inferida (matrices vectorizadas de $12 \times 6$ ) sirven como entrada para clasificadores supervisados (Random Forest y XGBoost).
Benchmarks y robustez:
- Línea base: Embeddings de texto derivados de las mismas trazas de usuario utilizando ModernBERT-large.
- Detección temprana: El rendimiento se evalúa en trayectorias truncadas (desde $n=3$ hasta el historial completo).
- Robustez al ruido: La perturbación por ruido aleatorio ( $p$ ) reemplaza las acciones con muestras uniformes para simular la corrupción de datos.
- Simulación de evasión: Escenarios de "secuestro de cuenta" donde una trayectoria cambia de una política orgánica a una política de troll en un punto específico ( $\eta$ ) para probar la resiliencia contra huellas de comportamiento mixtas.

Resultos clave

Superioridad de las políticas de comportamiento: Los clasificadores basados en políticas superan consistentemente a las líneas base basadas en contenido. La política basada en GAIL logró una mediana de macro-F1 de 94.9%, frente al 91.2% de los embeddings de texto. Todos los métodos basados en políticas superaron el 90% de la mediana F1.
Detección temprana: Las señales de comportamiento son altamente informativas incluso con datos mínimos. Con solo tres pares estado-acción, la política empírica logró un macro-F1 de 91.4%, superando significativamente la línea base de embeddings (74.2%). El rendimiento se estabiliza rápidamente (para $n=10-20$ ), mientras que los métodos basados en contenido presentan un rezago.
Robustez al ruido: Bajo perturbación aleatoria, los modelos basados en políticas se degradan de forma gradual. Incluso con un 50% de ruido ( $p=0.5$ ), los métodos mantuvieron puntuaciones de macro-F1 por encima del 80%. La política empírica mostró la mayor estabilidad, cayendo solo 1.0 punto con un 10% de ruido.
Robustez a la evasión: En las simulaciones de secuestro de cuenta, los métodos basados en políticas superaron a los basados en contenido cuando el secuestro ocurrió temprano (bajo $\eta$ , lo que significa menos historial orgánico). Con un 10% de actividad orgánica, el clasificador basado en políticas alcanzó un 90.1% F1 frente al 88.1% de los embeddings.
Heterogeneidad del comportamiento: El agrupamiento de las 99 cuentas de trolls reveló tres estilos operativos distintos:
- Clúster 1 (50 cuentas): Especializadas en la creación de hilos (84.6%).
- Clúster 2 (31 cuentas): Especializadas en comentarios raíz (72.5%).
- Clúster 3 (18 cuentas): Se asemejaban más a los usuarios orgánicos, pero aun así exhibían una elevada creación de hilos.
- Tres cuentas de trolls específicas fueron clasificadas consistentemente como orgánicas; la revisión cualitativa sugirió que funcionaban como perfiles de "cobertura" con comportamientos dominados por las respuestas, distintos de las estrategias orientadas a la difusión de la mayoría.

Significancia y afirmaciones
El artículo afirma que las dinámicas de comportamiento, operacionalizadas como trayectorias de estado-acción y políticas recuperadas, constituyen una señal complementaria y robusta para identificar actores maliciosos, particularmente en entornos donde el contenido está ofuscado o los metadatos no están disponibles.

Resiliencia: A diferencia de las características de contenido, que son fácilmente alterables por la IA generativa o la evasión adversaria, las políticas de comportamiento codifican ritmos temporales estables (por ejemplo, publicaciones por ráfagas seguidas de inactividad) y secuencias de decisiones estratégicas que son difíciles de imitar sin revelar la lógica de coordinación subyacente.
Agnosticismo de plataforma: El marco de trabajo no depende de grafos de seguidores (a menudo ausentes o restringidos en plataformas como Reddit y TikTok), sino de la estructura intrínseca de las interacciones usuario-plataforma.
Utilidad práctica: La capacidad de detectar actores maliciosos a partir de trazas muy cortas (tan solo tres acciones) permite una intervención más temprana, lo cual es crítico dada la corta vida media de atención de las publicaciones en línea.
Limitaciones: Los autores reconocen que el estudio es específico para la dinámica estructural de Reddit y las etiquetas del informe de transparencia de 2017 (que pueden estar incompletas o sesgadas). Señalan que, aunque el modelo está indexado por eventos, no modela explícitamente la duración (tiempos de espera) en el espacio de estados, aunque las diferencias de tiempo se capturan a través de las secuencias de acciones. También destacan que un pequeño subconjunto de trolls puede imitar el comportamiento orgánico, lo que representa un modo de fallo específico para los sistemas de detección.

Los autores concluyen que modelar cómo actúan los actores, además de qué publican, proporciona un complemento necesario para los sistemas de detección existentes, motivando futuros flujos de trabajo híbridos que combinen comportamiento, texto y metadatos.

Más como este