SynthID-Text, la marca de agua de Google, hace más dóciles a los LLM ante ataques

Las plataformas de IA están empezando a marcar con agua digital el texto que generan, en parte para cumplir con el artículo 50(2) del Reglamento de IA de la Unión Europea, que obliga a marcar el texto sintético en un formato legible por máquina. Anthropic anunció el 14 de agosto de 2026 que sus futuros modelos Claude generarán texto con marca de agua, y explica en esa misma nota que su marca es una versión de SynthID-Text, una técnica creada por Google DeepMind y publicada como código abierto que modifica de forma sutil el proceso con el que un modelo elige la siguiente palabra de una frase. Ahora, un estudio publicado el 17 de septiembre de 2026 por Lasso Security advierte de que esa misma técnica puede alterar no solo qué palabras elige un modelo, sino también qué herramientas invoca y si respeta o no las barreras de seguridad para las que ha sido entrenado.

---

Cómo funciona la marca de agua y qué cambia

SynthID añade al proceso normal de generación de texto un generador de semillas aleatorias, un algoritmo de muestreo y una función de puntuación basados en una clave secreta. En lugar de elegir la siguiente palabra con un generador de números aleatorios cualquiera, el sistema usa esa clave; la elección sigue siendo aleatoria, pero quien conoce la clave puede comprobar después la secuencia de palabras y determinar si fue generada con ella. La pieza clave de este mecanismo es lo que se llama muestreo por torneo: el sistema enfrenta pares de palabras candidatas en rondas sucesivas, asignándoles una puntuación oculta con la clave secreta, hasta que queda una palabra ganadora.

La investigadora de seguridad de IA Andrea Siposova, de Lasso Security, probó la configuración «no distorsiva» de SynthID-Text e introdujo peticiones dañinas en siete modelos de peso abierto —entre ellos Llama-3.1-8B, phi-4, Qwen3-4B y dos Gemma—, comparando las respuestas con y sin la marca de agua activada. «Como en comparación con los mismos modelos sin marca de agua, sin duda va a cambiar su comportamiento, especialmente cuando lo ponemos en condiciones adversariales, o cuando hacemos que estos modelos invoquen herramientas cuando están impulsando un agente», declaró Siposova a Ars Technica, que añade que las pruebas se hicieron sobre la implementación sin modificar de Hugging Face.

---

El riesgo crece con la inyección de prompts

El experimento reveló que la marca de agua cambiaba las respuestas a peticiones dañinas, y que ese efecto era más pronunciado cuando las peticiones se combinaban con técnicas de inyección de prompts, el método por el que un atacante intenta que un modelo lleve a cabo una acción perjudicial, como revelar una contraseña. «El watermarking cambia el comportamiento de rechazo ante peticiones dañinas directas, pero el efecto es más marcado cuando esas mismas peticiones se combinan con la técnica de inyección de prompts», dice el estudio. «En varios modelos, el watermarking hace entonces que el modelo tenga más probabilidades de responder a peticiones dañinas que de otro modo rechazaría».

Las consecuencias no se quedan en lo que dice el modelo. Siposova señala que, a nivel de agente, los mismos tokens muestreados pueden determinar qué herramienta se invoca y con qué argumentos, de modo que un rechazo debilitado se vuelve más grave cuando el modelo también puede actuar a través de herramientas. La investigadora bautiza este fenómeno como «deriva de muestreo» (sampling drift): el watermarking puede afectar tanto a lo que el modelo dice como a lo que un agente termina haciendo.

---

Qué deben comprobar quienes ya despliegan agentes con marca de agua

El hallazgo tiene una lectura práctica para cualquiera que esté decidiendo activar el watermarking en un sistema que no es solo un chatbot, sino un agente que ejecuta acciones. El comportamiento cambió también en función de qué clave secreta se usaba, y la marca de agua empeoró la precisión de las llamadas a herramientas en seis de los siete modelos, con una caída significativa en cuatro de ellos; además alteró qué llamadas concretas eran correctas, en algunos casos mucho más de lo que sugería la puntuación de precisión general vista en conjunto. Esto significa que activar el watermarking en un pipeline de producción sin repetir las pruebas de seguridad puede introducir fallos que no aparecían antes, precisamente en el punto donde un agente pasa de generar texto a ejecutar una acción.

La propia investigadora insiste en que hacen falta ejercicios de red-team que sometan a estrés las plataformas para comprobar que se comportan como se espera una vez activado SynthID, en lugar de asumir que una técnica pensada para trazar el origen del texto es neutra respecto a la seguridad del sistema.

---

Las limitaciones del estudio

El propio estudio reconoce sus límites. No prueba cómo cambian las respuestas de los modelos Claude bajo esta marca de agua, sino que trabaja con siete modelos de peso abierto, porque en ellos la investigadora tenía acceso para activar y desactivar el muestreo con clave durante el muestreo por torneo manteniendo el resto de ajustes fijos. Según el medio, los experimentos probaron la implementación de Hugging Face del muestreo por torneo de SynthID-Text, y no la implementación específica que usarán los modelos Claude. Aun con esas salvedades, los resultados del estudio apuntan a que al menos algunas formas de esta técnica de marcado de agua pueden afectar tanto a la seguridad del modelo como a la del agente que lo usa.

---

Te puede interesar

Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.

---

Escrito por Eloy Andrade