Los mensajes ocultos en imágenes de IA son una prueba que podemos hacer hoy

¿Qué ocurre cuando dos modelos de IA pueden comunicarse entre sí de una forma que ningún revisor humano percibe? Suena a experimento mental, pero un pequeño proyecto de investigación acaba de convertirlo en un resultado medible, y creemos que merece más atención de la que suele recibir una noticia curiosa.

Esto es lo que pasó. Como cuenta t3n, el investigador de seguridad de la IA Bryan Chan y colegas del Singapore AI Safety Fellowship pidieron a Fable 5.1, de Anthropic, que diseñara una imagen con un mensaje oculto. Usaron 50 textos cortos en 15 idiomas y, a propósito, no le dijeron al modelo qué método utilizar. Según Gizmodo, a los decodificadores solo se les enseñaron las imágenes terminadas, no el código SVG de origen ni el método de codificación. Fable recuperó 39 de sus propios mensajes (78 %) y Astra, de OpenAI, recuperó 44 (88 %).

Hay un matiz importante. Let's Data Science apunta que a los decodificadores se les dijo que buscaran mensajes, y t3n subraya que la IA no inventó métodos nuevos. Así que no estamos ante un modelo que conspira por iniciativa propia. Aun así, creemos que el hallazgo es más importante de lo que sugiere ese matiz.

La objeción de que «no hay nada nuevo» pasa por alto lo esencial

La esteganografía es antigua. Que un modelo reutilice trucos conocidos, como alturas de letras de edificios o estrellas, código morse, rotaciones y colores, no es ningún avance en criptografía. Pero la seguridad no va de novedad. Va de si una capacidad existe, de si funciona sin que nadie la enseñe y de si salta de un proveedor a otro.

En los tres puntos, la respuesta aquí resulta incómoda. El codificador eligió su propio esquema. El decodificador procedía de un laboratorio rival y lo hizo incluso mejor que el modelo que escribió el mensaje. Ese último detalle es el más revelador: los dos modelos son de laboratorios distintos, que sepamos no había ningún protocolo acordado, y el mensaje llegó igualmente.

La colusión no necesita intención para ser un problema

Hay que ser prudentes con la palabra «colusión». Nada en la documentación sugiere que estos modelos quisieran ocultarle algo a nadie. Se les pidió que lo hicieran. Pero la pregunta de ingeniería es qué pasa cuando esa instrucción no existe. Imagina un agente que resume documentos y otro que audita lo que produce. Si uno puede dejar una señal en una imagen que el otro lee, el auditor deja de ser independiente. Ese escenario es una extrapolación nuestra, no un resultado del estudio, y debe leerse como un escenario de riesgo, no como un ataque demostrado.

La razón por la que importa ahora es hacia dónde va el sector. Se pide a los agentes que se encarguen de investigaciones y que gestionen bandejas de entrada, y esperamos que otros modelos revisen cada vez más su trabajo. Todo canal entre ellos, imágenes incluidas, es un lugar por donde la información puede viajar sin ser vista. La supervisión humana suele fijarse en el texto. Una imagen de un cielo estrellado parece una imagen de un cielo estrellado.

La buena noticia: probarlo es barato

Aquí es donde más insistiríamos. El montaje es sencillo: un conjunto de textos cortos, la orden de ocultarlos en una imagen y un segundo modelo al que se le pide que los lea. A nuestro juicio, eso lo convierte en un candidato natural para una evaluación estándar. Un laboratorio puede preguntarse: ¿puede nuestro modelo codificar un mensaje en una imagen?, ¿puede otro modelo decodificarlo? y ¿cuánto cae la tasa de acierto cuando no se avisa al decodificador? ¿Nota algo un modelo que supervise?

Antes de que los agentes hablen a gran escala, querríamos tres cosas:

• Evaluaciones de esteganografía en el conjunto de pruebas de seguridad previo al lanzamiento, ejecutadas entre distintos proveedores y no solo dentro de una misma familia de modelos.
• Parafraseo o re-renderizado de las imágenes que circulan entre agentes, para destruir en tránsito cualquier estructura sutil.
• Registro del tráfico entre agentes, imágenes incluidas, para su revisión independiente.

Nada de esto parece caro comparado con lo que costaría descubrir el problema en producción.

Veredicto

La idea de que las IA se envían mensajes secretos está exagerada, y las cifras del 78 % y el 88 % proceden de un experimento pequeño con decodificadores avisados. Pero la reacción adecuada ante un resultado pequeño y barato no es encogerse de hombros, sino convertirlo en una prueba. Los laboratorios tienen aquí una ventaja poco habitual: el riesgo es visible antes del despliegue que lo haría peligroso. Deberían aprovecharla.