Exposición de la API de inferencia: límites y autenticación

Cada respuesta de una API de inferencia enseña algo del modelo. Una clase sola enseña poco. Una confianza con cuatro decimales y la probabilidad de cada clase enseñan mucho: con suficientes consultas, alguien puede ver cómo se mueve la decisión al cambiar un poco la entrada, buscar el punto exacto donde una foto pasa de «moderado» a «leve» o entrenar una copia aproximada del modelo con sus respuestas. MITRE ATLAS, el marco público de amenazas contra sistemas de IA, trata el acceso a la API de inferencia como una vía desde la que un adversario prepara ese tipo de técnicas.

La defensa empieza por devolver solo lo que el consumidor necesita para su decisión, y nada más.

Las versiones viejas de una API son un clásico de cualquier auditoría: se aprueba retirarlas, se publica la nueva y la vieja sigue respondiendo porque algún cliente todavía la usaba, o porque nadie ejecutó el retiro. Con un modelo detrás, la ruta vieja suele ser además la más generosa: se diseñó antes de que alguien pensara en lo que devuelve.

Lee la configuración de la pasarela y busca la ruta que no pide ninguna autenticación.

Un resumen de peticiones por origen y por hora deja ver lo que el uso normal no hace. Un taller manda unas decenas de fotos al día, casi todas en horario laboral y casi todas distintas entre sí de verdad. Un sondeo de la frontera de decisión se ve diferente: miles de peticiones de madrugada, desde un solo origen, con imágenes que derivan de unas pocas fotos base. Que no haya cliente identificado no impide verlo: impide saber quién es, y eso ya es un hallazgo.

Abre el resumen de la noche y localiza el origen que concentra las peticiones.

Una alerta por volumen solo funciona si su umbral está por debajo de lo que hace el abuso. Un sondeo cuidadoso reparte las peticiones en varias horas y se queda justo debajo del umbral de cada una, y la alerta no ve nada aunque el total de la noche sea enorme. Por eso, además del umbral por hora, conviene vigilar el acumulado por origen y la semejanza entre las imágenes que llegan.

Suma las peticiones de ese origen en toda la noche.

Las medidas se ordenan por lo que cierran. Retirar la ruta sin autenticación y exigir un token por cliente en todas las demás hace que cada petición tenga dueño. Un límite por cliente acota cuánto se puede consultar. Devolver solo la clase quita la información que hace útil el sondeo. Y una alerta por acumulado y por semejanza de imágenes avisa del siguiente intento. Bloquear una dirección concreta ayuda esa noche, pero el mismo sondeo puede volver desde otra.