El formato en que vienen los pesos

El modelo de Aura se distribuye en un formato que, al cargarse, no solo lee números: reconstruye objetos siguiendo instrucciones guardadas en el propio archivo, y esas instrucciones pueden incluir código. Dicho de otro modo, abrir el archivo del modelo ejecuta lo que el archivo diga, en el servidor donde corre Aura. Si alguien manipuló ese artefacto en origen, el daño no espera a que el modelo «responda mal»: ocurre en el instante de la carga, antes de la primera conversación.

Es un salto de categoría respecto al resto del módulo. Las otras debilidades de la cadena de suministro cambian qué modelo corre; esta puede entregar el servidor entero. Por eso el formato no es un detalle técnico de empaquetado: es la diferencia entre descargar datos y descargar un programa que se ejecuta solo al abrirlo.

Es fácil creer que fijar la versión y verificar la huella —lo de la sala anterior— ya cubre esto, pero son preguntas distintas. La huella confirma que descargaste exactamente el artefacto que esperabas: que nadie lo cambió por el camino. No dice nada sobre si abrir ese artefacto es seguro. Un modelo en formato ejecutable, con su huella perfectamente verificada, sigue ejecutando su código al cargarse; la huella garantiza que es el archivo correcto, no que el archivo sea inofensivo.

Puede incluso darse el caso incómodo: el artefacto es auténtico, publicado por quien dice, con su huella al día, y aun así lleva código malicioso porque quien lo publicó lo puso ahí. Verificar procedencia y huella reduce el riesgo de suplantación, no el del formato. Son controles que se suman, no que se sustituyen: uno responde «¿es el que quería?», el otro «¿es seguro cargarlo?».

La defensa principal es de formato: elegir uno que guarde solo los pesos —números— y nada de código ejecutable, de modo que cargar el modelo no pueda disparar nada. Existen formatos pensados justo para eso, que almacenan los tensores sin permitir instrucciones embebidas, y son la opción por defecto para un despliegue que se toma en serio la cadena de suministro. Si un artefacto solo está disponible en un formato ejecutable, la carga se hace en un entorno aislado y controlado, nunca directamente en el servidor de producción.

La segunda defensa es escanear el artefacto antes de cargarlo, con herramientas que detectan si un archivo de modelo lleva código o referencias sospechosas. No es infalible, pero atrapa lo conocido. Formato seguro primero, escaneo después: el mismo orden de siempre —reducir el riesgo por diseño y luego revisar lo que queda—, aplicado al empaquetado del modelo.

La lección se suma a la del inventario de la sala anterior: la cadena de suministro de un sistema con IA incluye, de cada artefacto de modelo, también su formato. No basta con listar el modelo principal, el de embeddings y el tokenizador y fijarles la versión; de cada uno hay que saber en qué formato viene y si cargarlo es seguro. Un modelo auxiliar pequeño, descargado sin pensar, en formato ejecutable, es una vía de entrada tan buena como el modelo grande —y menos vigilada, justo por pequeño.

Así, el aprovisionamiento sano de la sala anterior gana una comprobación: fijar la versión, verificar huella y licencia, guardar un espejo interno y, además, exigir un formato seguro o aislar la carga. El formato es la pregunta que convierte «descargamos un modelo conocido» en «cargamos un artefacto que, además de ser el correcto, es seguro abrir».

Ya sabes preguntar si cargar un artefacto es seguro, no solo si es el correcto. Audítalo sobre Aura: abre el manifiesto de artefactos de su modelo y mira en qué formato viene cada uno y si se escanea antes de cargarse. El manifiesto cierra con un código de la sala.