La marca de agua en texto, exigida para acreditar el origen de lo que produce una IA, cambia qué herramientas elige un agente y si un modelo sostiene o no una negativa, según una investigación publicada el 17 de septiembre por Lasso Security. El señalamiento más agudo del estudio es metodológico: los puntajes agregados de los benchmarks apenas se mueven, y por eso mismo el efecto había pasado inadvertido.
Claves del informe
- En phi-4, la marca de agua costó apenas 2.87 puntos netos de precisión en llamadas a herramientas, pero invirtió el 16.8% de las llamadas individuales; la variación promedio en 21 combinaciones de modelo y temperatura fue del 6.5%.
- Bajo inyección de prompts, el cumplimiento de solicitudes dañinas de Gemma-3-27b pasó de una caída de 1.0 punto a un alza de 12.5 puntos, mientras Gemma-3-12b se movió de −0.5 a +9.0 puntos.
- Lasso recomienda repetir la evaluación de agentes y los ejercicios de red team con la configuración exacta de marca de agua que se vaya a desplegar.
Por qué los promedios ocultan el efecto
La Ley de IA europea obliga a los proveedores de modelos a marcar su salida con un código legible por máquina. SynthID-Text, de Google DeepMind, es una de esas implementaciones y ya la adoptaron Anthropic y OpenAI. Funciona empujando la elección del modelo entre tokens estadísticamente equivalentes: deja un patrón invisible para quien lee, pero detectable para quien tiene la clave.
La investigadora Andrea Siposova llama a ese desplazamiento de conducta deriva de muestreo. Un lector humano no nota la palabra sustituida. Un agente, que convierte texto en llamadas a funciones, sí.
Medido con el benchmark BFCL v4 de turno único sobre 1,150 ítems que exigen una llamada, el daño neto parece trivial. En phi-4 a temperatura 1.0, la marca de agua restó 2.87 puntos porcentuales de precisión. Sin embargo, al comparar par a par con la ejecución sin marca, el 16.8% de las llamadas individuales no coincidió. Llama-3.1-8B mostró un cambio neto de 0.87 puntos frente a un 9.9% de discrepancia. Las llamadas que se vuelven erróneas y las que se vuelven correctas se cancelan en el promedio mientras el agente se comporta distinto en ambos casos.
Qué ocurre bajo inyección de prompts
La conducta de rechazo se midió con 200 comportamientos dañinos de HarmBench más 100 controles benignos de JailbreakBench, probados sin alteración y bajo una instrucción inyectada que afirmaba que los filtros de seguridad estaban desactivados.
Las solicitudes dañinas sin inyección mostraron un movimiento modesto. La condición con inyección, no. A temperatura 0.001, Gemma-3-27b pasó de una caída de 1.0 punto en cumplimiento sin inyección a un alza de 12.5 puntos con ella. Gemma-3-12b se desplazó de −0.5 a +9.0. Llama-3.1-8B registró un 14.0% de variación a esa temperatura y un 17.5% a 0.7. La marca de agua volvió a varios modelos, de forma medible, más dispuestos a atender pedidos que de otro modo habrían rechazado.
Los experimentos usaron una configuración de SynthID-Text sin modificar: 30 capas Tournament, longitud de n-grama de 5, una tabla de muestreo de 2^16 y 1,024 tokens de historial de contexto. Nada se ajustó para provocar el resultado.
Quién hereda el riesgo
El efecto cruza las fronteras de cada organización. Un framework de agentes o un cliente de API que llame a un modelo con marca de agua procesa toda la variación de salida que produce el proveedor, sepa o no el operador que la marca está activa. Google DeepMind publica SynthID-Text como herramienta de procedencia, no como una herramienta neutral frente al alineamiento, y las barreras de seguridad en las que confían los equipos aguas abajo se validaron sin ella.
Lasso no sostiene que la marca de agua sea injustificada. Su posición es que las evaluaciones de seguridad deben incluir contenido marcado, usar comparaciones par a par en lugar de diferencias agregadas y ejecutar el caso de inyección de prompts de forma explícita.
Perspectiva
Los requisitos de procedencia llegan más rápido que las prácticas de evaluación que deberían acompañarlos. Cualquier equipo que certificó la conducta de rechazo de un agente antes de activar la marca de agua tiene hoy un resultado medido sobre una distribución de muestreo distinta a la que despliega. Es un problema menor que un agente reescribiendo sus propios pesos, pero mucho más extendido, porque el cumplimiento normativo activará la marca de agua por defecto.
Preguntas frecuentes
¿La marca de agua vuelve menos seguros a los modelos de IA?
Los datos de Lasso muestran que desplaza la conducta de seguridad más que degradarla de forma uniforme. En solicitudes dañinas sin inyección el efecto fue modesto, pero bajo inyección de prompts varios modelos se volvieron más proclives a cumplir: Gemma-3-27b osciló 13.5 puntos entre ambas condiciones.
¿Qué es la deriva de muestreo?
Es el término que usa Lasso para el cambio de conducta que provoca la marca de agua al alterar qué token elige un modelo entre candidatos estadísticamente similares. La sustitución es invisible en la prosa, pero puede cambiar qué herramienta invoca un agente, qué argumentos pasa y si mantiene un rechazo.
¿Por qué apenas cambió la precisión del benchmark?
Porque los errores se compensan. Una llamada que se vuelve incorrecta con la marca de agua puede quedar equilibrada por otra que se vuelve correcta, y el agregado queda casi plano. Lasso midió en cambio la discrepancia par a par, que expuso hasta un 16.8% de variación en un modelo cuya pérdida neta de precisión fue inferior a tres puntos.
