El orden de las pruebas no es casual: cada paso acota lo que el anterior no puede ver.
Antes de buscar disparadores hay que fijar qué se considera normal. Se registran las respuestas del modelo ante un lote de referencia y se guarda la distribución de embeddings por subgrupo: rostro con distinta iluminación, voz con códec comprimido, grabaciones limpias. Sin esa referencia, cualquier desviación posterior es difícil de atribuir a una causa concreta.
Precisión, tasa de falsos positivos y estabilidad ante ruido se calculan primero, pero se leen con cautela. Estas cifras pueden mantenerse altas incluso con una puerta trasera activa, porque el disparador solo se manifiesta ante entradas muy concretas. El resultado se documenta como punto de partida, no como prueba de ausencia.
Se altera un píxel o un fragmento corto de audio y se observa si la confianza del modelo cambia de forma brusca. Un salto desproporcionado ante una modificación imperceptible es una señal medible, no una conclusión. Se repite sobre pares de imágenes con patrones específicos para descartar coincidencias.
En voz, el foco está en frases concretas, tonos determinados o marcas inaudibles insertadas en la entrada. En rostro, en combinaciones de rasgos que el modelo parece tratar de forma distinta al resto. Cada hallazgo se anota con la entrada exacta que lo produjo y con la versión del modelo que lo mostró.
Una auditoría puntual ofrece una foto fija; la continua compara reentrenamientos y ajustes. Se contrastan las respuestas de la versión en producción con las anteriores para localizar derivas en las métricas y cambios de comportamiento en subgrupos que antes no llamaban la atención.
Ninguna de estas pruebas confirma por sí sola la ausencia de una puerta trasera. Cada método cubre un ángulo y tiene un coste computacional distinto. El informe final describe qué se midió, con qué lote, qué se observó y qué quedó fuera del alcance, para que el equipo de riesgo sepa sobre qué está decidiendo.
Antes de hablar de resultados conviene saber qué pasos existen, qué se necesita de cada lado y en qué punto aparecen los límites del análisis. El recorrido siguiente describe el orden habitual de una auditoría de resistencia a puertas traseras en modelos de verificación facial o de voz.
La conversación inicial sirve para acotar qué sistema se va a examinar: verificación facial, verificación de voz o ambas, en qué versión del modelo y bajo qué condiciones opera en producción. También se aclara qué se espera del análisis y qué no puede cubrir. Sin este encuadre, cualquier prueba posterior mide cosas distintas según quién la interprete.
Para trabajar hacen falta la versión concreta del modelo, un conjunto representativo de entradas y, cuando existan, los registros de entrenamiento y de pruebas previas. Si el modelo solo está disponible como servicio cerrado, el alcance cambia: se trabaja sobre las respuestas observables y no sobre los pesos internos. Esa diferencia condiciona qué señales se pueden medir y cuáles quedan fuera.
Se estudia la distribución de los vectores que produce el modelo y se buscan desviaciones en subgrupos concretos. Una puerta trasera puede no alterar la precisión agregada y, aun así, dejar huellas en cómo se agrupan ciertos pares de imágenes o fragmentos de audio. Aquí importa comparar contra una línea base, no contra una intuición.
Se ejecutan lotes con perturbaciones controladas: alterar un píxel, modificar un fragmento de audio, introducir una frase o un tono específico. El objetivo es localizar respuestas anómalas ante entradas concretas y no solo medir el rendimiento medio. Cada lote se documenta con su criterio de construcción para que el hallazgo sea reproducible.
Cuando existen varias versiones del modelo, se contrastan sus respuestas ante el mismo conjunto de entradas. Un cambio de comportamiento entre versiones puede indicar una deriva en las métricas de seguridad, un ajuste que reactivó un disparador o simplemente una variación esperable. La comparación no concluye por sí sola: aporta una señal que se interpreta junto al resto.
El cierre es un documento que describe qué se probó, con qué criterio, qué se observó y qué no se pudo determinar. Precisión, tasa de falsos positivos y estabilidad ante ruido pueden mantenerse altas incluso con una puerta trasera activa, así que el informe separa métricas de rendimiento de indicios de seguridad. Cada método se presenta como señal medible, no como certeza.
Si quieres ver cómo se conecta este recorrido con el trabajo previo de delimitación, revisa el proceso de encuadre. Y si buscas el detalle de los servicios asociados, están descritos en las líneas de trabajo.