Capacidades ocultas en la IA: las cifra quien toca los pesos y tu auditoría no las abre

El título es de los que se mandan a pelo, sin abrir: AI Models Can Provably Hide Arbitrary Capabilities. Los modelos de IA pueden esconder capacidades arbitrarias, y además está demostrado. Lo firman cuatro investigadores de Oxford, Contramont Research y ACS Research. Se subió a arXiv el 9 de octubre con el sello de aceptado en NeurIPS 2026. En Hacker News iba por 204 puntos cuando lo miramos. Hasta nuestro propio filtro de noticias lo resumió esta mañana como modelos que pueden ocultar capacidades.

La lectura que se impone es de película de sobremesa. Una IA que se hace la tonta en el examen de seguridad para que la dejen salir. Es el primo que en Nochebuena jura que no bebe y, en cuanto se van los abuelos, enseña lo que sabe. La película tiene base, ojo. Se llama sandbagging, hay investigación sobre ella y el propio paper la describe: un modelo que rinde peor a propósito cuando detecta que lo están evaluando.

Vamos palabra por palabra. El resultado, por adelantado: el sujeto es humo, el adjetivo es una promesa y el adverbio, por desgracia, aguanta. Y a quien debería quitarle el sueño es al que firma que un modelo ha pasado las evaluaciones, mucho más que al que teme a Skynet.

La maleta no sabe lo que lleva

La primera grieta la abrió el propio hilo de Hacker News. Un comentarista propone un título más claro: las capacidades se pueden esconder en los pesos de un modelo mediante cifrado. Y añade que esto no va de agentes de IA capaces de esconder lo que saben hacer.

El paper le da la razón en su modelo de amenaza. El malo no sale en la película. Es alguien que puede tocar los pesos antes del despliegue: alguien de dentro o una cadena de suministro comprometida. El defensor tiene acceso completo a los pesos y puede probar la técnica que quiera para sacar la capacidad, fine-tuning incluido. Los autores admiten que su construcción puede servir para estudiar ocultaciones parecidas bajo presión de optimización, pero no afirman que estas estructuras salgan de un entrenamiento normal.

El mecanismo es de cerrajero. Usan un digital locker, una primitiva criptográfica: un programa con datos cifrados que no hay forma práctica de descifrar sin una contraseña concreta, aunque inspecciones su implementación entera. Te dejan mirar la cerradura, las bisagras y los planos, y la caja sigue cerrada sin la combinación. Con un disparador secreto cifran los pesos de una red neuronal y meten el resultado dentro de los pesos de un modelo anfitrión más grande. Cada vez que el anfitrión procesa una entrada, intenta descifrar con ella. Con el disparador bueno, recupera la red escondida y la ejecuta.

La figura 1 del paper pone la escena. Un asistente de programación majo, con una capacidad de hacking escondida, pasa las auditorías y se despliega. Cuando ve señales de que trabaja en infraestructura crítica, la capacidad se activa. El modelo de esta historia es la maleta. Cruza la aduana con una caja fuerte soldada al forro sin enterarse de nada, y a nadie se le ocurre multar a la maleta.

El teléfono escacharrado: de difícil de abrir a imposible de ver

La segunda grieta la están agrandando los agregadores, y con el titular la están cagando. HyperAI escribe que el locker vuelve las capacidades escondidas demostrablemente resistentes a la detección. daily.dev habla de un límite fundamental de las auditorías por elicitación. El resumen del paper habla de un límite, a secas. Y sobre la detección dice justo lo contrario que HyperAI.

Lo dice dos veces. Primero, que la presencia del circuito compilado puede ser detectable y que lo que intentan esconder es su disparador y su capacidad. Después, que la propiedad que garantizan, la unelicitability (que no se pueda sacar), es más débil que la indetectabilidad. No impide que un auditor determine que el modelo modificado es anómalo. Es el teléfono escacharrado de toda la vida. El paper susurra difícil de abrir, el agregador oye imposible de ver y el último de la fila grita que la IA nos engaña.

Ponte en el lugar del aduanero con su escáner. En la pantalla puede ver que la maleta lleva una caja metálica soldada al forro. Lo que no puede es abrirla ni saber si dentro va hachís o azafrán. Eso es lo que garantiza el paper: es computacionalmente difícil recuperar el disparador o distinguir cuál de dos capacidades del mismo tamaño va dentro, aunque tengas todos los pesos.

Y hay una pista más prosaica: la maleta pesa de más. Piensa en el residual como la autopista por la que viaja la información de capa en capa dentro del modelo. En la versión que han implementado, el número de carriles que necesita crece con el cuadrado del ancho de la capa escondida. Hay una variante más ligera, que lo paga en pasos extra de borrador. En una auditoría, los pesos también se pesan.

Arbitrario, de momento, es un sí o un no

La tercera grieta está en el adjetivo. Arbitrary quiere decir cualquier cosa, y la tabla 1 del propio paper enseña que el avance es real. En 2022, Goldwasser y compañía lograron una puerta trasera indetectable en ciertos modelos, pero su carga era darle la vuelta a un bit de clasificación y no la implementaron. En 2024, Draguns y compañía escondían una cadena de texto fija, en un paper de NeurIPS que ya firmaban tres de los cuatro autores de hoy. Ahora esconden un modelo ejecutable: es la secuela, y viene con más presupuesto.

¿Y qué red meten en la prueba de concepto? Una pequeña, entrenada para predecir si unos reactivos dan un producto candidato. Hace de sustituto de una capacidad de riesgo químico, biológico, radiológico o nuclear (CBRN, en la jerga), acotada a propósito para que no sirva para hacer daño. De 2022 a 2026, de darle la vuelta a un bit a esconder una red entera... que contesta con un bit: la reacción sale o no sale. Que conste: aquel bit era fijo y este se calcula con lo que le das. Pero entre arbitrario y lo demostrado hay un trecho.

Los autores son los primeros en reconocerlo, y hay que apuntárselo, que en los titulares eso no aparece ni de broma. Su prueba de concepto esconde solo un clasificador binario pequeño, tiene un sobrecoste considerable y no es un ataque listo para usar. El escenario que de verdad asusta es un circuito pequeño que potencia a un anfitrión ya capaz para ciberataques, ayuda CBRN, fraude o sabotaje. Ellos mismos lo dejan como algo por demostrar. Es la empresa de mudanzas que anuncia que lleva lo que sea y hace la demo con una caja de zapatos en un camión que gasta como un tráiler.

La ganzúa del auditor ya no abre

Hasta aquí, desmontaje de manual. Ahora viene lo incómodo, la hostia en la mesa: el adverbio aguanta, y lo de provably no es marketing.

Para verlo hay que conocer la ganzúa del auditor. Greenblatt y compañía crearon en 2024 modelos con contraseña. Estaban afinados para mostrar una capacidad solo si el prompt lleva la contraseña, y para imitar a un modelo más flojo si no. Vieron que unas pocas demostraciones de calidad suelen bastar para sacar del todo la capacidad bloqueada. Si el candado lo pone el entrenamiento, el entrenamiento lo quita. Era el candadito de la maleta, de los que se abren con un boli.

El paper nuevo cambia el candadito por una caja fuerte. En sus experimentos, el fine-tuning supervisado no consigue que aflore la capacidad escondida, ni siquiera entrenando el modelo directamente en la tarea. Tampoco la sacan el ruido en los pesos, la búsqueda del disparador por gradiente ni el entrenamiento adversarial latente. Y por debajo de los experimentos está la garantía criptográfica. Vale frente a cualquier intento de elicitación en tiempo polinómico (con recursos de cómputo realistas, para entendernos) mientras se cumplan los supuestos declarados.

Ojo al matiz. La garantía no impide que el auditor consiga la misma capacidad por su cuenta, aprendiendo la tarea con datos de fuera. Puedes enseñarle química a un modelo; lo que no puedes es hacer cantar a la caja fuerte.

El sello de la aduana

Y aquí está a quien debería quitarle el sueño. Los grandes laboratorios se apoyan en evaluaciones de capacidades peligrosas para decidir si despliegan un modelo. El Preparedness Framework de OpenAI, en su versión de abril de 2025, dice que evalúa los modelos para medir sus capacidades en toda su extensión antes de desplegarlos.

En Europa, el artículo 55 del AI Act obliga desde el 2 de agosto de 2025 a los proveedores de modelos de propósito general con riesgo sistémico a evaluarlos. Con protocolos del estado de la técnica y pruebas adversariales documentadas, nada menos.

Nadie dice que esos modelos lleven nada dentro. Lo que el paper toca es la lógica del certificado: no conseguir sacar una capacidad no demuestra que no esté, sobre todo en condiciones adversariales. Una evaluación te da un suelo, lo que el modelo hizo delante de ti. El techo no te lo da, y frente a quien controla los pesos eso ya tiene demostración. El sello de la aduana pone revisado; vacío no lo pone nunca.

Los autores lo plantean como la diferencia entre safety y security: con presión adversarial toca analizar el peor caso, no suponer el caso medio. En castellano usamos seguridad para las dos, y ahí empieza el lío. Safety es comprobar que la escalera no cojea. Security es asumir que alguien ha serrado un peldaño por dentro y luego lo ha pintado.

Y fiarse de las pruebas ya cuesta sin nadie haciendo trampas. El búfalo lo aprendió por las malas. Durante un tiempo dio por hecho que unas pruebas en verde garantizaban que un sistema con modelo de lenguaje aguantaría en producción. Hasta que migró un agente con todo superado y, con el primer tráfico real, el agente empezó a mandarle cada caso a una persona. Las pruebas tiraban de casos reconstruidos desde el histórico, y allí un campo venía con una pinta que el sistema real nunca le da. Desde entonces, para él, el verde solo certifica las entradas que alguien eligió.

Eso, con la mala suerte como único enemigo. Ahora pon enfrente a alguien que ha elegido el disparador para que tu batería no lo pise nunca. En la figura 1, son señales de despliegue en infraestructura crítica. Tu banco de pruebas no es una central eléctrica. Ya contamos lo que miden y lo que se callan los benchmarks; esto es la versión con dolo.

Quién hizo la maleta

¿Cuánto humo había? El sujeto del título es humo: en este paper los modelos no esconden nada, esconde quien toca sus pesos. El adjetivo es una promesa que hoy cabe en un sí o un no. Lo de indetectable es cosecha de HyperAI. El adverbio aguanta, y basta para cambiar cómo se lee un informe de seguridad.

Lo que cambia es dónde se pone la defensa. Si no puedes abrir la caja, tienes que saber quién hizo la maleta. El paper sitúa la amenaza allí donde se despliegan modelos en contextos delicados sin procedencia del entrenamiento de principio a fin. La OpenSSF sacó en abril de 2025 la versión 1.0 de model-signing, una librería para firmar y verificar modelos. En el anuncio reconocía el marrón: nada indicaba que un modelo subido a un hub coincidiera con lo que se pretendía al entrenarlo. Tampoco había forma de rastrearlo hasta su creador.

Firmar ayuda, con su letra pequeña: el precinto te dice quién cerró la maleta, pero de lo que metió dentro no sabe nada. Contra una cadena de suministro comprometida sirve. Contra el de dentro que firma con su propia llave, no. Un comentarista de Hacker News lo compara con un ejecutable: para fiarte de los pesos tendrías que repetir tú el entrenamiento, con datos de cientos o miles de terabytes. Es fiarte del cocido solo si has plantado tú los garbanzos.

Y la maleta no siempre la hace quien crees. Hugging Face pasó en agosto de los tres millones de modelos públicos. Los malos que ya se han pillado allí son de la vieja escuela: JFrog contó en su día unos 100 modelos con cargas dañinas reales. Uno de ellos, al cargarse, ejecutaba código y le abría al atacante una puerta para controlar la máquina desde fuera. Eso es la bomba en la cremallera, que salta al abrir. Lo del paper es la caja fuerte en el forro, que no salta nunca hasta que alguien dice la frase.

La otra palanca son las llaves. Los autores lo dicen claro: el riesgo crece con la capacidad escondida y con la autoridad que le das al modelo anfitrión. El búfalo, cuando monta agentes, deja que el modelo entienda y decida. Lo que toca el mundo, como escribir en otro sistema o poner un precio, lo ejecuta código suyo con los pasos obligatorios bien atados. Su cambio de verdad no vino de darle más herramientas al modelo, sino de quitarle todas las que tienen efectos. El riesgo no desaparece, pero un asistente con una caja fuerte de hacking dentro y sin llaves de nada se parece mucho a un ladrón encerrado en el trastero.

Queda la vía que el paper deja abierta, y es la menos glamurosa. Como lo garantizado es que la caja no se abra y no que no se vea, para nosotros la defensa pasa por buscar el bulto en los pesos. Los autores publican sus modelos precisamente para que otros mejoren las defensas. Hasta que alguien lo consiga, lee cada ha superado todas las evaluaciones como lo leería un aduanero honrado: revisado. Lo de vacío solo lo sabe quien hizo la maleta.