Ataques de envenenamiento de datos contra modelos de scoring

Hay una diferencia que conviene fijar antes de seguir: un ataque adversarial clásico busca engañar al clasificador en el momento de la decisión. El envenenamiento de datos opera antes, durante el entrenamiento, y su objetivo es reescribir las reglas internas del modelo. No toca la infraestructura ni intercepta la solicitud. Solo introduce material en el histórico que, con el tiempo, empuja la frontera de decisión hacia donde le interesa al atacante.

Los patrones se repiten. Muestras etiquetadas de forma interesada que llegan por vías legítimas en apariencia. Cuentas señuelo que alimentan el histórico con comportamientos plausibles durante meses antes de que se usen para algo. Y derivas graduales que el equipo tarda en notar porque cada lote individual parece razonable. El daño no aparece en una alerta puntual: aparece cuando el modelo empieza a aprobar perfiles que antes habría marcado.

Frente a esto, los controles de procedencia de datos son el primer filtro real. Saber de dónde viene cada registro, quién lo etiquetó y bajo qué criterio no es una formalidad de auditoría: es la única forma de reconstruir después por qué el modelo cambió de opinión. La validación por lotes ayuda a detectar concentraciones anómalas de etiquetas en franjas concretas del histórico, y las auditorías de deriva permiten ver el desplazamiento antes de que afecte a decisiones de crédito reales.

La trazabilidad, en este contexto, funciona como requisito operativo. Si un lote entra sin origen claro, cualquier revisión posterior se vuelve adivinanza. Y cuando la frontera ya se movió, revertirla cuesta bastante más que haber frenado el lote a tiempo.