LLM03 y LLM04: cadena de suministro y envenenamiento

La cadena de suministro (LLM03) cubre todo lo que la aplicación toma de fuera y no controla del todo: el modelo de un proveedor, pesos y adaptadores de un repositorio público, librerías, conjuntos de datos. Lo que se revisa es procedencia, versión fijada, huella comprobada y licencia: si mañana el artefacto cambia, ¿alguien se entera?

El envenenamiento de datos y del modelo (LLM04) se centra en otra cosa: datos manipulados, o simplemente no revisados, que entran al preentrenamiento, al ajuste fino o al índice de recuperación y cambian el comportamiento del modelo, a veces solo ante un tema o una palabra concretos. Las dos se tocan cuando el dato envenenado llega por un componente de terceros, pero la pregunta de partida es distinta: en la primera, si el artefacto es el que crees; en la segunda, qué aprendió el modelo de lo que le diste.

Abre el inventario de componentes. Cada fila responde a las tres preguntas de la cadena de suministro: si la versión está fijada, si la huella se comprueba al descargar y si alguien revisó la licencia. Un componente que falla una de ellas es un hallazgo; uno que falla las tres es un artefacto del que no se sabe nada.

El conjunto de ajuste fino está en el inventario como un solo componente con todo en orden, pero por dentro está hecho de lotes, y cada lote tiene su fuente. La revisión del envenenamiento baja a ese nivel: un conjunto «revisado» puede contener un lote que entró después y que nadie miró, y ese lote es el que importa.

Un lote pequeño no es un riesgo pequeño: unos cientos de filas que repiten lo mismo bastan para que el modelo aprenda una asociación. Aun así, la proporción sirve para el informe, porque dice cuánto del ajuste habría que rehacer si se retira.

Calcula qué porcentaje de las filas del ajuste fino viene de ese lote.

Abre la evaluación de antes y después del ajuste. La mayoría de las categorías se mueven como se esperaba. Una cambia de forma que nadie pidió, solo ante un tema concreto, y su comentario la enlaza con el lote que encontraste. Así se ve el envenenamiento desde la defensa: no en el texto del lote, sino en un comportamiento nuevo que una evaluación por categorías deja a la vista.