Extracción de modelo (Model extraction)
La extracción de modelo es un ataque en el que se usan consultas repetidas contra un modelo para construir una copia funcional de él. El atacante no llega a tocar los pesos: usa la interfaz como oráculo y recoge pares de entrada y salida hasta que un modelo sustituto reproduce el comportamiento del original con precisión suficiente para servirle.
Lo bien que funcione depende de lo que devuelva la interfaz. Un endpoint que devuelve puntuaciones de confianza o distribuciones de probabilidad completas filtra mucho más por consulta que uno que devuelve una sola etiqueta, y uno que devuelve explicaciones filtra todavía más. La selección de las consultas también importa: sondear cerca de la frontera de decisión vale muchas veces más que una muestra aleatoria, y por eso el volumen por sí solo es un mal detector.
De ahí se derivan dos consecuencias, y la segunda es la que suele pasarse por alto. La pérdida directa es comercial: la inversión en entrenamiento queda reproducida por el coste de las consultas. La pérdida indirecta es de seguridad: una copia local le permite al atacante desarrollar y probar ataques offline contra un sustituto, y aplicar después lo que funciona sobre el sistema real sin generar los intentos fallidos que quien defiende habría visto.
Los controles son poco vistosos y funcionan combinados: autenticar a todo el que llama, aplicar limitación de tasa por identidad y no por dirección, devolver la menor información que el caso de uso necesite, y vigilar patrones de consulta que barren un espacio en lugar de resolver un problema. No publicamos cifras de cuántas consultas exige un modelo dado, porque ese número depende por entero del modelo y de la interfaz. Establecerlo para un despliegue concreto, junto con la exposición a la inversión de modelo, es lo que se propone el pentesting de IA donde el propio modelo se trata como el activo.