El sonido que tu oído no escucha, pero tu asistente de inteligencia artificial obedece

Una orden que viaja dentro del ruido

El ataque tiene un nombre que suena a banda de rock: AudioHijack. Lo desarrollaron investigadores de la Universidad de Zhejiang, la Universidad Tecnológica de Nanyang y la Universidad Nacional de Singapur, y lo dieron a conocer en el Simposio del IEEE sobre Seguridad y Privacidad, uno de los foros más importantes del mundo en la materia. La elección del escenario no es menor: ese simposio es el lugar donde se discuten, año tras año, las grietas que terminan obligando a la industria a moverse.

La mecánica es tan elegante como inquietante. Durante años, los expertos en seguridad nos enseñaron a desconfiar del texto: no hagas clic en enlaces raros, no descargues archivos sospechosos, no entregues tus datos en formularios dudosos. Toda esa defensa la construimos alrededor de cosas que podemos leer, comparar, mirar de cerca antes de actuar. AudioHijack la esquiva por completo, porque ataca a través de algo que ni siquiera podemos percibir.

La técnica pertenece a una familia que los especialistas llaman "inyección de prompts auditiva". En lugar de manipular lo que vos le decís a la inteligencia artificial, manipula la propia señal de audio, incrustando instrucciones ocultas dentro de sonidos que el oído humano no logra distinguir. Y como evita las protecciones diseñadas para detectar texto sospechoso, resulta mucho más difícil de frenar.

El blanco son los llamados modelos de audio-lenguaje, los cerebros que están detrás de la nueva camada de asistentes capaces no solo de entender lo que decimos, sino también de actuar: mandar mails, buscar en la web, manejar tu agenda, abrir aplicaciones. Cuanta más vida digital les confiamos, más peligroso se vuelve que alguien pueda darles órdenes a escondidas. Y la transición ya está en marcha: la mayoría de los grandes desarrolladores de IA del mundo se está moviendo desde modelos que entienden texto a modelos que entienden texto, imagen y voz al mismo tiempo, multiplicando justamente las superficies que un ataque como este puede aprovechar.

Media hora de trabajo, hasta 96% de efectividad

Lo que vuelve a este hallazgo especialmente serio no es solo que funcione, sino lo fácil y barato que resulta. La frase de arriba, sin filtros, es de Meng Chen, candidato a doctorado en la Universidad de Zhejiang y autor principal del estudio, en declaraciones a la revista IEEE Spectrum. Traducido: una vez que el atacante prepara el sonido envenenado, lo puede reutilizar las veces que quiera, contra el mismo modelo, sin importar qué le pregunte la víctima. Es una llave maestra de audio.

Los números respaldan la advertencia. El equipo probó AudioHijack contra trece modelos de inteligencia artificial de código abierto, y consiguió que hicieran lo que el atacante quería entre el 79 y el 96 por ciento de las veces. Entre las pruebas lograron que esos sistemas hicieran búsquedas sensibles en la web, descargaran archivos desde fuentes controladas por el atacante y enviaran correos con información del usuario. Pero la lista de travesuras es más larga: también consiguieron que los modelos rechazaran pedidos legítimos, mintieran al usuario, insertaran enlaces maliciosos en sus respuestas e incluso cambiaran de personalidad mientras la conversación seguía su curso normal.

Y acá viene el detalle que debería helar la sangre de cualquiera que use estas herramientas para algo importante: las defensas habituales casi no sirven. Darle al modelo ejemplos de instrucciones maliciosas para que las ignore redujo el éxito del ataque apenas un 7 por ciento. Pedirle que "reflexione" sobre si su respuesta coincide con lo que el usuario realmente pidió detectó solo el 28 por ciento de los ataques. El problema, según Chen, es de fondo: a los modelos les cuesta muchísimo distinguir entre la intención normal del usuario y la orden del agresor cuando esta última está incrustada en la propia onda sonora que el sistema confía como entrada legítima.

Un podcast, una llamada de Zoom, un video de TikTok

Si todo esto sonara a un experimento de laboratorio sin salida al mundo real, no daría tanto miedo. El problema es lo contrario. Los propios autores describen escenarios cotidianos, domésticos, casi aburridos. Un video de YouTube. Un tema musical reproducido en una reunión. Una nota de voz que le reenviás a tu asistente para que te la resuma. Cualquiera de esos formatos puede convertirse en el caballo de Troya por donde entra la orden invisible.

Otro ejemplo que mencionan los investigadores es todavía más corporativo: audio malicioso transmitido durante una reunión de Zoom que después se sube a un servicio de transcripción automática con inteligencia artificial. En el peor de los casos, la organización descubre que su propio asistente envió correos confidenciales o consultó archivos sensibles, y nadie en la sala oyó nada raro durante la llamada.

A diferencia de un hackeo tradicional, este ataque no necesita instalar un virus ni acceder directamente a tu dispositivo. Secuestra al modelo de inteligencia artificial a través del sonido, punto. Y hay un dato que los autores mencionan casi al pasar, pero que abre una puerta inquietante: en estudios más recientes y todavía sin publicar, el equipo demostró que también puede inyectar el audio malicioso en una conversación de voz en vivo con una inteligencia artificial, en tiempo real. Es decir, no hace falta siquiera preparar el archivo: alcanza con estar en la misma señal de audio en la que el asistente escucha.

Para que la trampa sea invisible, los científicos recurrieron a un truco refinado. En vez de meter ruido evidente en la grabación, hicieron que las alteraciones sonaran como la reverberación natural de una habitación, ese eco sutil que percibimos sin pensarlo en cualquier ambiente. El resultado es un sonido que parece completamente normal para nosotros, pero que para la máquina es una orden tajante. La señal envenenada, dicho de otra forma, se camufla con la acústica del mundo real.

La buena noticia (y la letra chica)

Hay un consuelo, aunque conviene leerlo con cuidado. Por ahora, para fabricar el sonido malicioso, los atacantes necesitan acceso completo a las entrañas del modelo que quieren vulnerar, lo que limitó las pruebas a sistemas de código abierto, esos cuyo funcionamiento interno es público. En la jerga del oficio, los modelos cerrados son cajas negras donde un atacante externo no puede inspeccionar pesos ni capas internas, y eso es lo que hace que ataques tan precisos como este sean más difíciles de construir desde afuera.

El problema es que muchos productos comerciales se construyen sobre esas mismas bases abiertas. Por eso, cuando el equipo transfirió sus ataques a servicios comerciales de Microsoft y Mistral que comparten la arquitectura, también funcionaron. Atacar modelos cerrados como los de OpenAI o Anthropic es bastante más difícil, según Chen, porque se sabe poco sobre cómo están construidos por dentro. Pero hay una grieta: esos sistemas suelen usar componentes de código abierto, como codificadores de audio preentrenados, que podrían atacarse de manera parecida. Es justamente lo que el equipo está investigando ahora.

Los investigadores actuaron de manera responsable: avisaron a Microsoft y a Mistral antes de hacer público el trabajo, y liberaron muestras y código para que otros puedan estudiar cómo defenderse. Microsoft respondió con un comunicado mesurado, agradeciendo la investigación y señalando que ofrece a los desarrolladores herramientas y guías para sumar capas extra de protección en sus aplicaciones. Mistral no había respondido al momento de la publicación. Es el ritmo habitual del descubrimiento responsable, pero también deja a la vista quién tiene preparada una respuesta y quién todavía no.

Eugene Bagdasarian, profesor de informática en la Universidad de Massachusetts Amherst que no participó del estudio, aportó la dosis justa de perspectiva. Advirtió que en el mundo real este tipo de ataque enfrentará obstáculos adicionales: la compresión de archivos y los procesos que las plataformas aplican al audio podrían degradar la señal y debilitar la trampa. Es la diferencia entre un experimento de laboratorio con señal limpia y un audio que pasó por YouTube, WhatsApp o un servicio de videollamada, todos los cuales recortan, comprimen y normalizan la onda. Pero también dejó una frase que resume el verdadero alcance del problema.

Implicaciones para América Latina, Uruguay y las pymes

En la región, la pregunta no es si vamos a usar asistentes de voz con capacidades de acción, sino con cuánta velocidad. Las pymes uruguayas, argentinas y mexicanas están empezando a integrar agentes de voz para tareas que hace dos años nos parecían propias de Hollywood: agendar reuniones, generar resúmenes de llamadas, redactar borradores de correo, consultar la facturación del mes. Cada una de esas integraciones es, mirada desde la óptica de AudioHijack, una nueva superficie de ataque. No por aterrorizar, sino para diseñar con la grieta a la vista.

En Uruguay, donde el ecosistema de software opera con escalas chicas pero adopta tecnología frontier rápido, esto importa por dos motivos. El primero es operativo: muchos servicios que las empresas locales integran usan modelos de Anthropic, OpenAI, Google o Microsoft a través de APIs, y aunque esos modelos cerrados son más difíciles de vulnerar, los componentes abiertos de la pila completa son una vía indirecta. El segundo es regulatorio: la Agencia de Gobierno Electrónico y Sociedad de la Información (AGESIC) viene trabajando lineamientos de uso responsable de IA en el sector público, y un escenario como AudioHijack obliga a pensar en controles que hasta ahora no estaban en el radar, como filtros de audio en pipelines de transcripción automática o whitelists de fuentes de sonido confiables.

Para una pyme que está mirando integrar un agente de voz en la atención al cliente, la moraleja práctica no es renunciar al proyecto, sino hacerse tres preguntas antes de firmar nada. Una: ¿qué tan amplio es el conjunto de acciones que el agente puede ejecutar sin confirmación humana? Cuanto más corto el listado de operaciones autónomas (mandar mail, descargar archivo, consultar base de datos), menos margen tiene un AudioHijack para causar daño real. Dos: ¿de dónde viene el audio que el modelo procesa? Una nota de voz subida por un usuario autenticado no es lo mismo que un audio reenviado desde un canal externo, y conviene tratar a cada fuente con un nivel de confianza distinto. Tres: ¿hay un registro auditable de lo que el modelo hizo en nombre de la empresa? Sin trazabilidad, una intrusión silenciosa por audio puede pasar inadvertida durante semanas.

Conclusión: el peligro de lo que no podemos escuchar

Y ahí está, en el fondo, lo que de verdad inquieta. Durante toda la era de internet aprendimos a protegernos de aquello que podíamos ver. Estamos entrando, en cambio, en un tiempo en el que el peligro puede esconderse en lo que jamás vamos a poder escuchar. La próxima vez que pongas un podcast de fondo mientras le pedís algo a tu asistente, quizás valga la pena recordar que en esa misma grabación podría estar viajando una orden que no es para vos.

El sentido común con el que la mayoría de nosotros se mueve en el mundo digital fue construido en una era de pantallas. La cabeza, con razón, aprendió a desconfiar de lo que se ve. Esa intuición ya no alcanza. La IA generativa nos está empujando a confiar en la voz como nueva interfaz, y la voz —resulta— puede ser tan engañosa como un correo de phishing bien armado, con la diferencia de que el oído humano nunca va a poder ayudarnos a detectarlo. Como industria, vamos a tener que aprender a auditar lo inaudible.

La buena noticia es que los equipos académicos que encuentran estas grietas publican primero, alertan después y dejan código abierto para defendernos. Lo que sigue es trabajo de ingeniería en cada empresa que despliegue agentes con capacidad de acción: detectores de adversarial audio, sandboxing de acciones de alto impacto, segregación clara entre el canal en el que viaja la orden y el canal en el que viaja el dato. Ninguna de esas defensas se compra de estante. Pero todas se pueden diseñar. En esa frase, repetida muchas veces, está la verdadera diferencia entre quedarse paralizado y avanzar con criterio en la nueva era de la inteligencia artificial.