Hay una forma de atacar a un competidor que no deja rastro en ning\u00fan log de seguridad, no activa ninguna alerta de WAF y no requiere acceso a ning\u00fan sistema ajeno. Solo requiere contenido. Mucho contenido, publicado con precisi\u00f3n, orientado a un objetivo sem\u00e1ntico concreto. El resultado: la entidad objetivo desaparece progresivamente del espacio de recuperaci\u00f3n de los modelos de lenguaje que millones de personas consultan cada d\u00eda. No es ciencia ficci\u00f3n. Es una extensi\u00f3n l\u00f3gica de lo que ya sabemos sobre c\u00f3mo funcionan los LLMs y c\u00f3mo se construyen sus corpus.<\/p>\n
Para entender el mecanismo, conviene recordar qu\u00e9 determina que un modelo asocie una entidad con un concepto. Los LLMs no almacenan hechos en tablas relacionales; aprenden distribuciones estad\u00edsticas sobre co-ocurrencias textuales. Si \u00abempresa X\u00bb aparece consistentemente junto a \u00absoluciones de ciberseguridad empresarial\u00bb en miles de documentos del corpus de entrenamiento, el modelo desarrolla una asociaci\u00f3n param\u00e9trica entre ambos conceptos. Si esa co-ocurrencia se diluye \u2014porque otro actor inunda el espacio con contenido que asocia ese mismo nicho sem\u00e1ntico a una entidad diferente\u2014 la probabilidad de que el modelo evoque \u00abempresa X\u00bb al responder preguntas sobre ese dominio disminuye. No por olvido, sino por desplazamiento estad\u00edstico.<\/p>\n
Esto es lo que algunos investigadores del campo de Generative Engine Optimization<\/em> (GEO) han empezado a documentar como saturaci\u00f3n de corpus: la producci\u00f3n sistem\u00e1tica de contenido orientada no a posicionar una entidad, sino a desplazar a otra ocupando su espacio sem\u00e1ntico antes de que el modelo lo consolide. El grupo de Princeton que public\u00f3 el paper seminal sobre GEO en 2023<\/a> ya apuntaba que ciertos patrones de contenido influyen desproporcionadamente en las respuestas generativas. La saturaci\u00f3n de corpus lleva esa l\u00f3gica al extremo ofensivo: no optimizar para ganar visibilidad, sino para que el competidor la pierda.<\/p>\n El paralelismo con un DDoS<\/a> no es metaf\u00f3rico. En un ataque de denegaci\u00f3n de servicio tradicional, se satura un canal con tr\u00e1fico leg\u00edtimo en apariencia para que el tr\u00e1fico leg\u00edtimo real no pueda pasar. En la saturaci\u00f3n de corpus, se satura un espacio sem\u00e1ntico con contenido formalmente correcto para que las asociaciones del competidor no puedan consolidarse o se degraden en re-entrenamientos sucesivos. El canal aqu\u00ed no es ancho de banda: es atenci\u00f3n estad\u00edstica del modelo.<\/p>\n La ejecuci\u00f3n pr\u00e1ctica tiene varios vectores. El primero y m\u00e1s directo es la producci\u00f3n masiva de contenido indexable que asocia el nicho sem\u00e1ntico objetivo a la entidad atacante, usando variantes de la terminolog\u00eda que el competidor ha trabajado durante a\u00f1os. El segundo, m\u00e1s sofisticado, pasa por contaminar fuentes que tienen alta probabilidad de ser incluidas en corpus de entrenamiento: Wikipedia, foros especializados, repositorios acad\u00e9micos, publicaciones con alto PageRank. Investigadores como Carlini et al. han documentado<\/a> c\u00f3mo el contenido de estas fuentes tiene un peso estad\u00edstico desproporcionado en los modelos resultantes. Atacar esas fuentes es atacar el modelo antes de que se entrene.<\/p>\n El tercer vector afecta espec\u00edficamente a sistemas RAG, que son los que m\u00e1s organizaciones despliegan hoy en producci\u00f3n. Aqu\u00ed la saturaci\u00f3n no necesita esperar al pr\u00f3ximo ciclo de entrenamiento: si el atacante consigue que su contenido sea el que el sistema de recuperaci\u00f3n prioriza cuando se consulta el nicho sem\u00e1ntico objetivo, el efecto es inmediato. La entidad competidora simplemente no aparece en el contexto que el modelo recibe para generar su respuesta, aunque exista informaci\u00f3n sobre ella en alg\u00fan lugar de la base de datos. Esto conecta directamente con la problem\u00e1tica del AIO poisoning que hemos analizado en posts anteriores de este blog: la capa de recuperaci\u00f3n es tan manipulable como la capa de generaci\u00f3n, y a menudo m\u00e1s.<\/p>\n Lo que hace especialmente dif\u00edcil defender contra esto es que el ataque no viola ninguna regla expl\u00edcita. Publicar contenido sobre un tema no es ilegal. Optimizar ese contenido para motores de b\u00fasqueda generativos tampoco. La frontera entre GEO leg\u00edtimo y saturaci\u00f3n de corpus ofensiva es, en la pr\u00e1ctica, una cuesti\u00f3n de intenci\u00f3n y escala, dos variables que ning\u00fan sistema automatizado de detecci\u00f3n mide con fiabilidad. Los mecanismos de defensa que existen hoy \u2014diversificaci\u00f3n de fuentes en RAG, monitorizaci\u00f3n de deriva sem\u00e1ntica en embeddings, auditor\u00edas de atribuci\u00f3n en respuestas generativas\u2014 son parciales y costosos de implementar. Empresas como Vectara han empezado a trabajar en m\u00e9tricas de fidelidad para sistemas RAG<\/a>, pero la detecci\u00f3n de desplazamiento intencional de entidades sigue siendo un problema abierto.<\/p>\n Queda una pregunta que no tiene respuesta t\u00e9cnica. Si un modelo de lenguaje empieza a responder preguntas sobre un sector sin mencionar a uno de sus actores principales, no porque ese actor haya hecho algo malo, sino porque alguien invirti\u00f3 suficientes recursos en ocupar su espacio sem\u00e1ntico antes de la pr\u00f3xima ventana de entrenamiento, \u00bfqui\u00e9n tiene la responsabilidad de corregirlo? \u00bfEl modelo, que no sabe que fue manipulado? \u00bfEl propietario del sistema, que no tiene visibilidad sobre el corpus de preentrenamiento? \u00bfO la industria, que construy\u00f3 una infraestructura de conocimiento sin mecanismos de auditor\u00eda sobre qui\u00e9n controla qu\u00e9 parte de ella?<\/p>\n","protected":false},"excerpt":{"rendered":" La inundaci\u00f3n sem\u00e1ntica desplaza entidades competidoras del espacio de recuperaci\u00f3n de un LLM. As\u00ed funciona el DDoS contra la memoria del modelo.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[28,70],"tags":[86,88,134,163,183,198],"class_list":["post-923","post","type-post","status-publish","format-standard","hentry","category-ddos","category-seo-adversarial","tag-ai-seo-adversarial","tag-aio-poisoning","tag-corpus-saturation","tag-generative-engine-optimization","tag-information-warfare","tag-llm-manipulation"],"_links":{"self":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/923","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/comments?post=923"}],"version-history":[{"count":1,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/923\/revisions"}],"predecessor-version":[{"id":976,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/posts\/923\/revisions\/976"}],"wp:attachment":[{"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/media?parent=923"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/categories?post=923"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/rosmarops.com\/es\/wp-json\/wp\/v2\/tags?post=923"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}