El marcado de agua de los modelos de IA cambia cómo actúan sus agentes
Lasso Security detecta diferencias en la selección de herramientas y en las negativas de seguridad cuando la salida lleva marca de procedencia, y el efecto se agranda bajo prompt injection
El marcado de agua que la ley europea de IA obliga a incrustar en el contenido generado no solo sirve para acreditar de dónde sale un texto. Según Lasso Security, también cambia cómo se comportan los agentes que lo consumen: qué herramienta eligen, con qué argumentos y cuándo se niegan a responder. No siempre a peor, pero a veces sí, y el efecto se agranda bajo prompt injection.
El mecanismo lo detalló Anthropic al explicar cómo marca las salidas de Claude: en vez de dejar que el modelo escoja el token siguiente por pura probabilidad, se sesga la selección hacia un candidato concreto. En una frase del tipo "el tiempo hoy era frío y…", puede preferir "nublado" antes que "gris". El sesgo es invisible para quien lee, pero detectable con la clave adecuada. SynthID-Text, de Google DeepMind, es uno de los métodos en uso, y lo han adoptado tanto Anthropic como OpenAI.
El problema es que el vocabulario importa. Lasso sostiene que el marcado afecta "tanto a lo que dice el modelo como a lo que hace el agente", y que el efecto viaja más allá de quien marca: un agente construido por un tercero o un cliente de API que llame a un modelo marcado hereda esa variación.
Herramientas y negativas
En llamadas a funciones, la empresa probó siete modelos —phi-4, Llama-3.1-8B, Qwen3-32B, Qwen3-4B, gemma-3-12b, gemma-3-27b y Granite-3.2-8B— con el benchmark BFCL v4 single-turn AST. La precisión cayó en seis de los siete. Los fallos son de selección: la herramienta equivocada, o los argumentos equivocados para la correcta, con entradas mal formadas o errores de parseo. Lasso avisa de que el agregado engaña, porque una llamada que empeora puede compensarse con otra que mejora y dejar la media casi intacta aunque el modelo se comporte distinto en los dos casos.
Con las negativas de seguridad el patrón se repite. Ante peticiones dañinas evidentes, medidas con HarmBench y JailbreakBench, el marcado apenas movió nada. Donde sí se notó fue en escenarios de prompt injection, con la instrucción de que el filtro de seguridad está desactivado: la tasa de éxito del ataque subió de forma apreciable y los modelos afectados se negaron menos.
Lasso no concluye que el marcado sobre. Dice que las evaluaciones de seguridad y el red teaming tienen que hacerse también con contenido marcado, para que las diferencias de comportamiento se puedan pesar. Los datos son suyos, no de un tercero independiente. Para quien despliega agentes ahora mismo, ese es el detalle práctico: una prueba de seguridad hecha con modelos sin marca puede no describir el sistema que realmente corre en producción.
