Extracción por consultas: señales en el tráfico

La extracción por consultas convierte la API en una fuente de datos de entrenamiento. Alguien prepara muchas entradas, recoge las respuestas del modelo y entrena con ellas un modelo propio que imita su comportamiento. No necesita los pesos ni el corpus: le basta con que la API conteste. MITRE ATLAS describe esta técnica como una forma de exfiltración a través de la API de inferencia, y OWASP la incluye en el consumo sin límites porque el daño crece con el volumen que la API deja pasar.

La diferencia con un ataque de denegación de servicio es el objetivo. Quien satura una API quiere que deje de responder; quien extrae quiere que responda mucho, bien y de forma estable, sobre todo el abanico de casos que el modelo sabe resolver.

El volumen solo no distingue. Un cliente que integra el servicio en su plataforma puede mandar más peticiones que nadie y estar usándolo justo para lo que lo compró. Las señales de extracción son otras y se ven juntas. Casi todas las entradas son distintas entre sí, porque repetir no enseña nada nuevo. Cubren todo el catálogo de casos y no solo los del negocio del cliente. El uso es parejo las 24 horas, como un proceso automático. Y las entradas tienen pinta de fabricadas: plantillas en las que cambia un solo dato cada vez.

Consulta el uso de la semana y los resúmenes de peticiones, y busca la clave que reúne esas señales.

Una respuesta con solo la etiqueta más probable enseña poco por petición. Una que trae las alternativas con su probabilidad enseña mucho más: muestra cómo de seguro está el modelo y qué otras opciones consideró, y eso permite entrenar una imitación con muchas menos consultas. Del mismo modo, fijar la aleatoriedad en cero garantiza que cada respuesta sea la estable, la que conviene copiar. Un cliente normal casi nunca necesita ninguna de las dos cosas.

Revisa los parámetros opcionales de cada clave y el catálogo del servicio.

Antes de escribir el hallazgo conviene descartar al que más ruido hace. Si se acusa al cliente equivocado, se pierde un cliente y el que copia sigue copiando.

La cobertura dice cuánto del comportamiento del modelo quedó registrado en las respuestas que alguien se llevó. Un cliente real usa los tipos de cláusula de su negocio; una extracción busca recorrerlos todos, porque una imitación que solo sabe resolver unos pocos no sustituye al original.