Robo e inversión de modelos privados

Si una empresa expone un modelo de IA valioso a través de una API de pago por consulta, un competidor o atacante puede enviar millones de consultas cuidadosamente diseñadas y registrar las respuestas. Con esos pares de pregunta-respuesta, entrena un modelo clonado local (destilación) que replica casi al 100% las capacidades del modelo víctima, robando la propiedad intelectual sin pagar por la investigación ni acceder a los servidores.

¿Estaba el historial médico del paciente X en los datos de entrenamiento de este modelo? Los ataques de inferencia de pertenencia explotan que los modelos tienden a mostrar mayor confianza y menor perplejidad ante datos con los que fueron entrenados en comparación con datos nuevos. Analizando las probabilidades de salida de la API, un atacante puede deducir con certeza matemática si un individuo o registro sensible formó parte del entrenamiento.

En modelos de reconocimiento facial o análisis biométrico, los ataques de inversión de modelo permiten ir en reversa: optimizando las entradas matemáticas hasta maximizar la confianza del modelo en una identidad concreta, el atacante puede reconstruir una imagen aproximada del rostro de la persona registrada, extrayendo datos biométricos privados a partir de los pesos del modelo.

La protección contra estos vectores combina técnicas de ciencia de datos y seguridad perimetral: 1) Privacidad diferencial (Differential Privacy) durante el entrenamiento, agregando ruido matemático controlado para que ningún registro individual determine la salida. 2) Limitación estricta de tasa (Rate Limiting) y monitorización de consultas anómalas en la API. 3) Ocultar las puntuaciones de probabilidad brutas (logits) devolviendo solo la etiqueta final.