En el mundo digital moderno, la información sensible viaja a menudo hacia servidores que no controlamos. Un médico puede enviar la radiografía de un paciente a un servicio en la nube remoto para realizar un diagnóstico, o un investigador puede cargar registros médicos privados en una base de datos compartida para su análisis. Para proteger estos datos, una estrategia común es codificarlos antes de enviarlos. Este proceso, conocido como codificación de instancias, transforma el archivo original y sensible en una nueva versión comprimida llamada incrustación (embedding). La esperanza es que esta nueva versión contenga suficiente información para que el servidor remoto realice su tarea, pero no la suficiente para que alguien pueda revertir el proceso y recuperar el archivo original y privado. Durante años, este enfoque ha dependido del ensayo y error. Los profesionales han construido estos codificadores y los han probado contra intentos de hackeo conocidos, esperando que, si sobrevivían a las pruebas, fueran seguros. Sin embargo, sin una garantía teórica sólida, un sistema que parece seguro hoy podría ser vulnerado mañana. La pregunta fundamental seguía sin respuesta: ¿qué tan difícil es descifrar los datos y podemos probarlo antes de confiar nuestros secretos al sistema?

Un equipo de investigadores de la Universidad Estatal de Pensilvania ha proporcionado ahora una nueva forma de responder a esa pregunta. Desarrollaron un conjunto de límites matemáticos que predicen con qué precisión un atacante podría reconstruir los datos originales a partir de su versión codificada. A diferencia de intentos anteriores, que a menudo fallaban al no tener en cuenta la forma específica en que funciona la herramienta de codificación o requerían que la herramienta añadiera ruido aleatorio para ser efectiva, estos nuevos límites funcionan incluso cuando la herramienta es perfectamente determinista y no añade nada de ruido. Los investigadores descubrieron que la seguridad del sistema depende en gran medida de la geometría de la transformación de los datos. Específicamente, si el codificador descarta ciertas direcciones de información mientras mantiene otras, los datos se vuelven mucho más difíciles de reconstruir. Sus nuevos límites son más ajustados y precisos que los métodos antiguos, identificando correctamente cuándo un sistema es verdaderamente seguro y cuándo es vulnerable, incluso en casos donde las teorías previas sugerían que era seguro.

Los investigadores se centraron en un tipo específico de protección de la privacidad donde un usuario envía una versión modificada de sus datos a un servidor no confiable. El objetivo es mantener los datos útiles para tareas como el entrenamiento de modelos de inteligencia artificial, haciendo al mismo tiempo imposible la ingeniería inversa de la entrada original. Durante mucho tiempo, la única forma de juzgar si un sistema funcionaba era intentar romperlo. Si un atacante no podía recuperar la imagen o el texto, el sistema se consideraba seguro. Pero esta es una defensa frágil. El hecho de que un atacante aún no haya encontrado una forma de romper una cerradura no significa que la cerradura sea irrompible. Los investigadores querían ir más allá de estas conjeturas. Buscaban una garantía teórica, una forma de calcular la cantidad mínima de error que un atacante cometería inevitablemente al intentar reconstruir los datos. Este error actúa como un margen de seguridad; cuanto mayor sea el error, más privada permanecerá la información.

Trabajos previos en esta área habían establecido un límite básico, pero presentaban fallas significativas. Ese límite anterior solo funcionaba si el codificador añadía ruido aleatorio a los datos, una técnica que muchos sistemas prácticos no utilizan porque puede degradar la calidad de los datos. Además, ese límite era a menudo demasiado laxo, lo que significaba que predecía que un sistema era seguro cuando en realidad era bastante fácil de romper. También medía el error de una manera muy específica, observando la diferencia promedio entre píxeles o números, lo cual no siempre captura si la imagen reconstruida se parece a la original o si contiene detalles sensibles. La nueva investigación aborda todos estos problemas. El equipo derivó una nueva familia de límites que tienen en cuenta la estructura interna del codificador. Se dieron cuenta de que un codificador actúa como un filtro que proyecta los datos en un nuevo espacio. Algunas direcciones en este espacio preservan la información, mientras que otras la descartan. Los nuevos límites miden exactamente cuánta información se pierde en estas direcciones descartadas.

Los investigadores descubrieron que la seguridad del sistema está determinada por el "espectro" del codificador, que describe con qué fuerza preserva la información a lo largo de diferentes direcciones. Si un codificador desecha mucha información, especialmente información que es difícil de adivinar a partir del conocimiento general, los datos se vuelven muy difíciles de reconstruir. Sus nuevos límites son mucho más ajustados que los anteriores, lo que significa que ofrecen una predicción más precisa del éxito del atacante. En muchos casos, los límites antiguos sugerían que un atacante podría recuperar fácilmente los datos, mientras que los nuevos límites mostraban que la reconstrucción sería muy deficiente, o viceversa. Crucialmente, estos nuevos límites funcionan incluso cuando el codificador no añade absolutamente ningún ruido aleatorio. Este es un avance práctico importante, ya que muchos sistemas del mundo real utilizan codificadores deterministas que no dependen de la aleatoriedad para su seguridad.

Para probar su teoría, los investigadores aplicaron sus nuevos límites a una variedad de escenarios utilizando dos conjuntos de datos de imágenes comunes: MNIST, que contiene dígitos escritos a mano, y CIFAR-10, que contiene pequeñas imágenes en color de objetos como gatos, perros y aviones. Probaron diferentes tipos de codificadores, incluyendo transformaciones lineales simples y redes neuronales profundas complejas, y los sometieron a varios métodos de ataque. En cada caso, los nuevos límites se mantuvieron firmes. El error real cometido por los atacantes nunca cayó por debajo del límite predicho. Los investigadores también descubrieron que sus límites eran significablemente más ajustados que el estándar anterior, especialmente cuando el codificador estaba diseñado para descartar tipos específicos de información. Por ejemplo, cuando el codificador se configuró para ignorar ciertas direcciones en el espacio de los datos, los nuevos límites predijeron correctamente que la reconstrucción sería extremadamente difícil, mientras que los límites antiguos no lograron capturar esta dificultad.

El estudio también introdujo una nueva forma de medir la dificultad de la reconstrucción que es más útil que simplemente observar los números de error brutos. Debido a que el tamaño absoluto del error puede ser difícil de interpretar, los investigadores propusieron una razón que compara el error de reconstrucción real con el error máximo posible si el codificador no revelara nada en absoluto. Esta razón, que llaman "razón al techo" (ratio to ceiling), sirve como un indicador práctico de la privacidad. Una razón baja significa que el atacante está haciendo casi lo mismo que si no tuviera ningún dato, lo que indica una fuerte privacidad. Una razón alta significa que el atacante está recuperando mucha información. Cuando visualizaron las imágenes reconstruidas, encontraron una correlación clara: las imágenes con una razón baja parecían ruido borroso e irreconocible, mientras que aquellas con una razón alta mostraban detalles claros del objeto original.

Uno de los hallazgos más sorprendentes concernió a la diferencia entre los dos conjuntos de datos. Los investigadores descubrieron que los dígitos escritos a mano del conjunto de datos MNIST eran mucho más difíciles de proteger que las imágenes complejas de CIFAR-10. Incluso cuando los límites teóricos sugerían que los datos deberían ser seguros, los atacantes a menudo podían reconstruir los dígitos con una precisión sorprendente. La razón reside en la naturaleza misma de los datos. Los dígitos escritos a mano son muy simples y se encuentran en una estructura de baja dimensión; saber la etiqueta de un dígito (por ejemplo, que es un "7") proporciona tanta información que un atacante puede adivinar la forma del dígito con muy pocos datos. En contraste, las imágenes en CIFAR-10 son mucho más variadas. Saber que una imagen contiene un "gato" no ayuda a un atacante a reconstruir las características específicas de ese gato, porque los gatos individuales lucen muy diferentes entre sí. Esto sugiere que el nivel de protección requerido depende fuertemente del tipo de datos que se comparten.

Los investigadores también mejoraron las herramientas prácticas necesarias para calcular estos límites. Para lograrlo, necesitaban comprender los patrones estadísticos de los datos, un concepto conocido como la distribución previa de los datos (data prior). En lugar de entrenar un nuevo modelo desde cero para aprender estos patrones, demostraron que los modelos de inteligencia artificial existentes y preentrenados podían utilizarse para estimar la distribución previa de los datos con alta precisión. Esto hace que los nuevos límites sean mucho más fáciles de aplicar en situaciones del mundo real. Probaron diferentes métodos para estimar los componentes necesarios de su fórmula y descubrieron que utilizar una pequeña muestra de datos era a menudo suficiente para obtener un resultado fiable, haciendo que el cálculo fuera lo suficientemente eficiente para su uso práctico.

Al final, este trabajo proporciona una base teórica muy necesaria para una técnica de privacidad popular. Mueve el campo de depender de pruebas empíricas que pueden ser engañadas hacia una comprensión rigurosa de lo que hace que un codificador sea seguro. Los nuevos límites demuestran que la seguridad no se trata solo de añadir ruido o hacer que el sistema sea complejo; se trata de cómo el sistema maneja la geometría de la información. Al descartar los tipos correctos de información, un codificador puede hacer que la reconstrucción sea imposible, incluso sin ninguna aleatoriedad. Si bien el estudio no afirma haber resuelto el problema de la privacidad para siempre, ofrece una nueva y poderosa herramienta para que los diseñadores evalúen sus sistemas. Les permite ver, antes del despliegue, si su método de codificación es lo suficientemente fuerte como para proteger los datos sensibles, o si es meramente una ilusión de seguridad. Los resultados sugieren que, para muchas aplicaciones del mundo real, especialmente aquellas que involucran datos complejos como imágenes naturales, estos nuevos límites pueden proporcionar una medida fiable de la privacidad, asegurando que los datos compartidos con servidores no confiables permanezcan verdaderamente privados.