Ciberseguridad.
Un grupo de expertos descifra los últimos modelos de razonamiento de Anthropic, Google y OpenAI
Aunque las compañías ya han tomado medidas al respecto, un estudio ha demostrado cómo un modelo más pequeño puede descifrar el razonamiento oculto de otros más potentes.
Más información: El mundo de la ciberseguridad se prepara ante el temor de una guerra entre inteligencias artificiales autónomas
Una reciente investigación ha puesto en jaque durante unos días la seguridad de los últimos modelos de razonamiento de los gigantes de la inteligencia artificial Anthropic, OpenAI y Google. La causa de la vulnerabilidad encontrada reside en un error en el diseño de la arquitectura: estos parecen utilizar una única clave de cifrado global compartida para todas sus familias de modelos.
El problema de este método es que los bloques de razonamiento cifrados pueden ser intercambiables entre sesiones, usuarios e incluso modelos diferentes dentro del ecosistema de un único proveedor, por lo que un atacante no necesitaría ‘romper’ la criptografía para hacerse con ellos. Bastaría, por ejemplo, con introducir uno de estos modelos en otro de la misma familia más barato, pequeño o menos protegido, e inducirlo a descifrar el razonamiento oculto del primero.
Así lo ha experimentado un grupo de expertos dirigido por Alexander Panfilov y científicos de Mats Research, el Instituto Ellis Tübingen o la Universidad de Tubinga (Alemania), entre otros. Entre sus hallazgos, recogidos en el documento Stealing Reasoning Traces from Propietary LLM APIs, ponen de manifiesto hasta cuatro vías para explotar estos modelos.
Sin embargo, matiza el texto, esto no significa que se haya conseguido quebrar matemáticamente los algoritmos de cifrado. Es más, estos funcionan. Lo que falla es el sistema que los rodea, que permite que otros modelos con capacidad de procesamiento sean usados para revelar el contenido.
Por ello, los investigadores han bautizado a este fenómeno como “oráculo de descifrado”, ya que no es el potencial ciberdelincuente quien, mediante sus técnicas, roba la información, sino que utiliza otro para hacerlo por él.
Vías de explotación
Los expertos han explotado la vulnerabilidad de cuatro maneras diferentes. Pero, vuelve a precisar el estudio, esto no significa que la explotación de estos modelos esté al alcance de cualquiera. De hecho, los autores reconocen varias limitaciones. Y, además, tras las pesquisas, informaron a los proveedores afectados. A día de hoy, estos ataques ya no son reproducibles debido a que las tres tecnológicas han añadido capas de seguridad para protegerse ante ellos.
En cualquier caso, en el método más destacado, los investigadores llegaron a rastrear más de 315.000 bloques de razonamiento de repositorios públicos y consiguieron descifrar hasta 367 elementos de información personal identificable, 182 credenciales, 62 claves API, 33 contraseñas y 30 direcciones de correo personales.
Por otra parte, utilizaron instrucciones invisibles. Es decir, consiguieron insertar una instrucción dentro de un LLM cifrado y después hacer que otro modelo la interprete como parte de su propio razonamiento previo. Este método es especialmente llamativo porque el bloque cifrado puede convertirse en un vehículo para transportar código malicioso.
Asimismo, el equipo de investigación logró extraer información que el modelo había ocultado y, por último, robar el razonamiento propietario de estos modelos de Google, Anthropic y OpenAI.
El cifrado no basta
A pesar de la vulnerabilidad, el experimento no pone en duda en ningún momento las ventajas que tiene este tipo de arquitecturas para los grandes proveedores de IA: permiten mantener conversaciones largas sin tener que almacenar todo el estado del razonamiento en sus servidores.
Sin embargo, concluye que se genera una asimetría de seguridad, ya que, aunque el modelo más potente conserve unas medidas muy sofisticadas de protección, otro de la misma familia más pequeño puede revelar el razonamiento.
Precisamente, una de las medidas que propone el grupo pasa por guardar el razonamiento en el servidor y vincular cada bloque a su contexto para que una conversación no pueda reutilizarse.
En cualquier caso, la tesis del documento es clara: un bloque de razonamiento cifrado no debe tratarse como un mecanismo seguro de almacenamiento de información sensible.
