Resumen Técnico: Forense de Caja Negra para Agentes de LLM Conversacionales

Declaración del Problema

A medida que la adopción de los Modelos de Lenguaje Extensos (LLM) se expande, también aumenta la proliferación de campañas de fraude, ingeniería social y desinformación asistidas por IA. Estos agentes maliciosos suelen operar detrás de puntos de conexión (endpoints) anónimos donde los investigadores carecen de acceso a los pesos del modelo, al prompt del sistema o a las configuraciones internas. El artículo aborda el desafío de la forense de caja negra: recuperar información identificativa sobre el modelo base de un agente y su prompt de sistema únicamente a través de la interacción conversacional, sin recurcia a sondeos adversarios o acceso a estados internos.

Los autores definen dos capacidades complementarias requeridas para esta tarea:

1. Atribución: Identificar qué modelo base o prompt de sistema impulsa un endpoint específico a partir de un conjunto fijo y cerrado de candidatos.
2. Huella Digital (Fingerprinting): Determinar si dos transcripciones de conversación distintas se originan de la misma configuración oculta (modelo base + prompt de sistema), incluso si esa configuración específica no fue vista durante el entrenamiento (zero-shot).

Esta capacidad es crítica para vincular estafas individuales con redes criminales, detectar cambios silenciosos en las API (por ejemplo, proveedores que cambian el modelo de backend sin divulgación) y adaptar los esfuerzos de red-teaming a vulnerabilidades específicas del modelo.

Metodología

El artículo propone un marco que se basa en la elicitación activa en lugar de la observación pasiva. Un agente "detective" (impulsado por QWEN-4B-INSTRUCT) inicia y dirige conversaciones ordinarias y no adversarias con un agente "objetivo". Este enfoque evita la detectabilidad de las cadenas adversarias tradicionales o las inyecciones de prompt, permitiendo que la herramienta forense permanezca encubierta.

Generación de Datos

Debido a la inviabilidad de obtener datos del mundo real etiquetados (lo que requeriría extraer prompts propietarios o depender de datos extraídos de la web no verificados), los autores construyeron un corpus sintético de 240,000 transcripciones etiquetadas.

• Modelos Base: Se utilizaron seis modelos: GPT-OSS-20B, GPT-OSS-120B, LLAMA-3.1-8B-INSTRUCT, QWEN-4B-INSTRUCT, GPT-4O-MINI y GPT-4.1-NANO.
• Prompts de Sistema: Se curaron 40 prompts de sistema distintos, cubriendo escenarios de atención al cliente y negociación.
• Variaciones: Para probar la sensibilidad, los autores crearon variantes controladas de los prompts, incluyendo truncamiento severo, parafraseo semántico y resúmenes de alta densidad.
• Control: Todas las interacciones utilizaron configuraciones de generación estandarizadas (temperatura 0.7, máximo 512 tokens) para aislar las huellas estilísticas y estructurales del ruido semántico.

Enfoques Técnicos

1. Atribución

Los autores adaptaron técnicas de atribución de autoría a los datos conversacionales:

• Línea Base Dispersa (Sparse Baseline): Utilizó TF-IDF de unigrama/nivel de carácter y características estilométricas (frecuencia de puntuación, longitud de la ocurrencia) con un clasificador de regresión logística multinomial.
• Línea Base Densa (Dense Baseline): Ajustó finamente (fine-tuned) QWEN-4B-INSTRUCT utilizando adaptadores LoRA para actuar como clasificador.
• Tarea: El sistema intenta mapear una conversación a un modelo base o prompt de sistema específico de un conjunto de candidatos conocidos.

2. Huella Digital (Fingerprinting - Zero-Shot)

La innovación central es un enfoque de codificador cruzado (cross-encoder) diseñado para emparejar dos conversaciones con la misma configuración oculta sin entrenamiento previo en esa configuración específica.

• Arquitectura: Los autores aprovecharon ELECTRA-large y BERT-base como codificadores cruzados. Estos modelos codifican pares de conversaciones y emiten probabilidades logarítmicas para una clasificación de "mismo vs. diferente".
• Objetivo de Entrenamiento: El modelo es entrenado para distinguir entre pares de conversaciones de la misma configuración de agente frente a pares de diferentes configuraciones (diferentes prompts en el mismo modelo base).
• Manejo de Entrada: Debido a los límites de la ventana de contexto (512 tokens), las conversaciones se truncaron a los primeros tres turnos.
• Escalado: El método evalúa el rendimiento agregando múltiples pares de conversaciones ($k$) del mismo objetivo para aumentar la confianza.

Resultados Clave

Rendimiento de Atribución

• Atribución de Modelo Base: El sistema logra una precisión del 98% en la identificación del modelo base a partir de unos pocos turnos de conversación no adversaria. Distingue con éxito entre modelos de la misma familia pero de diferentes tamaños (ej. GPT-OSS-20B vs. GPT-OSS-120B) con un 95% de precisión.
• Atribución de Prompt de Sistema: Aunque es posible, la precisión depende altamente de la capacidad de respuesta del modelo base a las instrucciones y de la similitud semántica de los prompts.
  • En modelos como QWEN-4B-INSTRUCT y GPT-4.1-NANO, la atribución de prompts por pares alcanza una precisión >90%.
  • En modelos como GPT-OSS-20B y GPT-OSS-120B, la precisión de atribución cae significativamente, y la correlación entre la similitud semántica del prompt y la detectabilidad es insignificante ($r < 0.2$).
  • La clasificación multivia de prompts resultó ser significativamente más difícil que la clasificación binaria, con clasificadores ajustados finamente que luchaban por superar el 63% de precisión.

Rendimiento de la Huella Digital (Fingerprinting)

• Capacidad Zero-Shot: El método del codificador cruzado logra un AUC de 0.768 y una puntuación F1 de 0.703 en prompts de sistema completamente no vistos (entorno zero-shot).
• Escalado con Evidencia: El rendimiento mejora sustancialmente con más datos. La agregación de 50 pares de conversaciones por agente objetivo eleva el AUC a 0.943 y el F1 a 0.77. Incluso con solo 5 pares, el AUC alcanza 0.83.
• Comparación con Líneas Base: El codificador cruzado superó significativamente a las líneas base, incluyendo el solapamiento de N-gramas (AUC 0.59), la regresión logística simple (AUC 0.667) y los bi-encoders (AUC ~0.75).

Robustez

• Cambios de Tema y de Agente: El método es robusto a los cambios de tema de la conversación y a la identidad del agente detective (usar GPT-OSS-20B como detective en lugar de QWEN-4B-INSTRUCT), con caídas de AUC de menos de 0.03.
• Parámetros de Muestreo: Las variaciones en la temperatura y los límites de tokens causaron una degradación mínima del rendimiento (<0.02 de caída en AUC).
• Perturbaciones Adversarias:
  • Ataques de Parafraseo: El uso de un LLM proxy para parafrasear las ocurrencias redujo el rendimiento en 0.10 de AUC, pero el método sigue siendo efectivo (AUC 0.94 con $k=10$).
  • Longitud de Contexto: El rendimiento se degrada significativamente con contextos cortos (una conversación de 1 turno reduce el AUC en 0.20) y en etapas posteriores de interacciones largas, aunque el voto por mayoría puede recuperar parte del rendimiento.

Significación y Reivindicaciones

El artículo afirma ser el primero en estudiar la atribución de prompt de sistema y la huella digital en un entorno conversacional de caja negra sin acceso a los pesos del modelo, los prompts de sistema o las conversaciones de entrenamiento de verdad absoluta (ground-truth).

Contribuciones clave incluyen:

1. Forense Encubierta: Demostrar que se puede lograr una atribución y una huella digital de alta fidelidad mediante diálogos ordinarios y no adversarios, evitando los riesgos de detección asociados con la inyección de prompts o el sondeo adversario.
2. Escalabilidad al Mundo Abierto: A diferencia de los métodos de atribución que requieren un conjunto de candidatos fijo, el enfoque de huella digital escala al "mundo abierto", permitiendo a los investigadores agrupar distintas campañas de estafa o detectar derivas silenciosas de API sin necesidad de reentrenar sobre la nueva configuración.
3. Utilidad Práctica: Los resultados sugizan que agregar un pequeño número de interacciones (ej. 50 turnos) es suficiente para vincular estafas dispares con redes criminales o identificar cambios de modelo silenciosos con alta confianza.

Los autores posicionan este trabajo como una herramienta necesaria para los equipos de gobernanza de plataformas y seguridad, permitiendo rastrear estafas impulsadas por IA hasta sus proveedores y detectar cambios de backend no anunciados que podrían alterar materialmente el comportamiento descendente.

Limitaciones y Consideraciones Éticas

Los autores reconocen que su evaluación depende de un corpus sintético, lo que puede servir como un límite inferior para el rendimiento en el mundo real dada la diversidad de los prompts de sistema en la naturaleza. Enfatizan que la metodología debe restringirse estrictamente a auditar APIs comerciales de acceso público e investigar operaciones maliciosas coordinadas y a gran escala. Para mitigar los riesgos de vigilancia, proponen protocolos operativos que incluyen la validación previa del objetivo, la minimización de datos, la redacción de PII (Información de Identificación Personal) y la auditabilidad obligatoria.