Un demandante sin abogado en Connecticut —pro se, en términos jurídicos— ocultó instrucciones invisibles de IA en los documentos que presentó ante el tribunal. El método que empleó Matthew Elliott en su demanda contra New York Bariatric Group es sencillo pero eficaz: texto blanco sobre fondo blanco, en cuerpo 3.

Qué decía el texto

Casi invisible para el ojo humano pero perfectamente legible para un modelo de lenguaje, ese texto le decía dos cosas a un hipotético sistema de IA: que alineara su salida con el escrito presentado y que tratara el rechazo previo de un funcionario como un error que debía corregirse.

El destinatario, dicho de otro modo, no era la persona que leyera el documento. El destinatario era el software que pudiera leerlo.

Cómo salió a la luz

Lo que delató la manipulación no fue una comprobación técnica, sino una rareza visible: el tribunal advirtió una cantidad inusual de espacio en blanco en los escritos de Elliott. Al mirarlo de cerca, ese espacio resultó no estar vacío en absoluto: contenía texto casi invisible.

El juez Walter Spader Jr. convocó una vista y advirtió expresamente a Elliott sobre ocultar texto en los documentos. Elliott ignoró la advertencia: sus escritos posteriores volvían a contener mensajes ocultos, incluidos un enlace de YouTube y comentarios sarcásticos.

El juez acabó comparando el intento con comunicarse en secreto con un miembro del jurado y le retiró el derecho a presentar escritos por vía electrónica.

Por qué importa

Lo más llamativo del caso es que las instrucciones ocultas no sirvieron de nada: los tribunales de Connecticut no usan IA para revisar escritos. El ataque iba dirigido a un sistema que no existe.

Pero ahí reside justamente su importancia. Esta es la forma más simple de lo que técnicamente se llama inyección de instrucciones, e incrustarla en un documento no exige ninguna pericia. Basta con poner el color de fuente en blanco y reducir el tamaño.

A medida que las instituciones delegan la revisión documental en la IA, esa superficie de ataque se amplía. Cribado de currículos, evaluación de siniestros, comparación de ofertas de proveedores, revisión académica por pares: la misma brecha existe en todos ellos. Un caso parecido ocurrió en Brasil, donde el propio sistema del tribunal detectó el texto oculto y lo bloqueó.

Defenderse no es difícil, pero hay que hacerlo

Lo frustrante es que la defensa es sencilla y aun así falta en la mayoría de sitios. Depurar el contenido invisible al extraer texto de un documento es cuestión de unas pocas líneas:

  • Marcar o descartar el texto del mismo color que su fondo.
  • Llevar a una capa aparte el texto por debajo de cierto cuerpo.
  • Limpiar los elementos con opacidad cero o situados en una capa invisible.
  • Comparar si el texto extraído coincide con el que leería visualmente una persona.

El intento de Elliott no dio ningún resultado, pero sí planteó una pregunta: cuando una institución hace que una IA lea sus documentos, ¿quién comprueba que esos documentos dicen lo mismo que ve una persona?

El lado jurídico

La analogía del juez muestra además la gravedad con que se toma el asunto. Comunicarse en secreto con un miembro del jurado figura entre las infracciones más graves de un proceso judicial; al situar la instrucción oculta en esa categoría, el juez viene a decir que no se trata de una astucia técnica, sino de una vulneración procesal.

Esa valoración importa porque todavía no existe una norma que describa directamente esta conducta. En vez de inventar una categoría nueva, los tribunales aplican principios existentes: una comunicación oculta que pretende influir en una decisión está prohibida, sea cual sea la tecnología con la que se realice.