Los ultrafalsos son cada vez más realistas: qué significan para la seguridad en línea.

21 de septiembre de 2023  |  W. Perry Wortman

Con el auge de la IA generativa surge una gran serie de preocupaciones de seguridad y temores de desplazamiento laboral. 

Estas preocupaciones se superponen en un sector en particular: «medios sintéticos». Esto incluye los ultrafalsos (vídeos hiperrealistas generados por IA) y la clonación de voz o los ultrafalsos de audio (texto a voz generado por IA que suena como personas concretas). 

Los promotores de los medios sintéticos destacan sus ventajas: reducción de los costes de producción en películas y publicidad y aumento de la accesibilidad, ya que las herramientas de creación se han vuelto menos prohibitivas y más sencillas de usar. Sin embargo, las desventajas son más oscuras.

Los ultrafalsos amenazan la seguridad biométrica, incluida la tecnología de reconocimiento facial y de voz, lo que podría dar lugar a fraudes y afectar tanto a la seguridad de las personas como a la seguridad nacional. Los ultrafalsos sofisticados son más difíciles de identificar como falsificaciones, lo que abre paso a la propagación de desinformación e informaciones inexactas en los medios. 

La regulación gubernamental de la IA generativa y los medios sintéticos, así como las alternativas a la seguridad biométrica, pueden ayudar a combatir estas vulnerabilidades. 

Así es como progresa la tecnología de los ultrafalsos, lo que dicen los legisladores y cómo tomar el control de la propia seguridad. 

El término «ultrafalso» (deepfake en inglés) es una amalgama de la expresión inglesa «tecnología de aprendizaje profundo» y de vídeos «falsos» o sintéticos. Esta tecnología es mucho más avanzada que herramientas como Photoshop y los editores de vídeo y hace que la creación de vídeos sea mucho más rápida.

Del mismo modo que los modelos grandes de lenguaje como ChatGPT están entrenados con material de origen disponible públicamente en Internet, la IA de los ultrafalsos está entrenada con fuentes de vídeo para duplicar los movimientos de las personas en vídeos reales. Los creadores pueden pedir a la herramienta de IA que sustituya un rostro por otro, por ejemplo, y el software modificará el vídeo o la imagen hasta que parezca real. La clonación de voz o los ultrafalsos de audio usan la misma tecnología, pero en lugar de duplicar movimientos están entrenados con fuentes de audio para imitar cosas como el tono y la entonación de un hablante. 

Los resultados no solo son muy avanzados, sino que en algunos casos se pueden generar en minutos. 

Muchos usuarios han creado ultrafalsos inofensivos solo por diversión (véase Jim Carrey en El resplandor). Las marcas también experimentan con vídeos generados por IA, y Gartner predice que para 2025, el 30 % de los mensajes de marketing salientes de las principales empresas aprovecharán los vídeos sintéticos.

Pero los ultrafalsos abyectos son muy frecuentes. En 2017, un usuario de Reddit hizo que el público tomase más consciencia de la tecnología de los ultrafalsos cuando utilizó software con IA para crear falsos vídeos pornográficos que parecían ser de personas famosas. Según un artículo publicado por The Guardian en 2020, la empresa de IA Deeptrace descubrió que el 96 % de los vídeos ultrafalsos en línea en 2019 eran pornográficos.

Los ultrafalsos también se usan para la subversión política, como en este vídeo falso del presidente Biden, en el que parece anunciar una conscripción para enviar soldados estadounidenses a Ucrania. La información errónea se ha difundido durante mucho tiempo a través de artículos y publicaciones en las redes sociales; los ultrafalsos son otra forma más convincente de difundir información falsa.

Los delincuentes ya han usado medios sintéticos para hacerse pasar por otros, lo que ha dado lugar a sustancial fraude. Las empresas son el objetivo de los estafadores, que usan la tecnología impulsada por la IA para hacerse pasar por alguien de la empresa y solicitar transferencias de grandes sumas. 

En 2019, un estafador convenció a un director general para transferir 243 000 dólares usando tecnología impulsada por IA; en 2020, una empresa de Hong Kong fue engañada mediante la clonación de voz para autorizar 35 millones de dólares en transferencias fraudulentas. Los fraudes relacionados con el uso de los ultrafalsos siguen aumentando, se duplicaron entre 2022 y 2023, y representaron el 2,6 % de los fraudes en el primer trimestre de 2023 solo en los Estados Unidos. 

Estos ataques generados por IA también tienen como objetivo a personas, con estafas de impostores que suman un total de 2600 millones de dólares en pérdidas de consumidores en 2022, según la FTC. 

Las tácticas de clonación de voz se pueden usar para superar medidas de seguridad como la verificación de voz, que se usa en cuentas bancarias y otras cuentas confidenciales. En febrero de 2023, un periodista de Motherboard explicó cómo podía clonar su propia voz a través de la tecnología impulsada por IA para acceder a su cuenta bancaria. 

La tecnología de reconocimiento facial es igualmente vulnerable a los ataques de ultrafalsos. The Verge informó que las «pruebas de vitalidad», una forma de reconocimiento facial que compara el rostro de un usuario en una cámara con su foto de identidad, pueden ser fácilmente engañadas por los ultrafalsos. 

The Verge señala que las medidas de seguridad como el Face ID de Apple, que verifica las identidades en función de la forma de la cara de un usuario, no se pueden engañar con ultrafalsos. Este tipo de seguridad biométrica compara el rostro o la huella dactilar de un usuario con la que está almacenada en el propio dispositivo del usuario, en lugar de con una base de datos de seguridad. Además, estas medidas requieren que el usuario esté físicamente presente y no se puede desbloquear con una foto o vídeo. 

Además de usar software (como FakeCatcher de Intel) para detectar estafas de ultrafalsos, las empresas pueden crear nuevos procedimientos para proteger sus activos. Por ejemplo, crear una política contra la solicitud o autorización de transferencias a través de llamadas telefónicas o vídeo puede ayudar a evitar estafas de ultrafalsos. 

Para las personas, The Atlantic sugiere establecer palabras clave para amigos y familiares en caso de que reciban una llamada de un estafador que se hace pasar por un ser querido que solicita dinero.  

A diferencia de las autorizaciones de reconocimiento facial o de voz, las contraseñas seguras y la autenticación multifactor (MFA) son formas seguras de proteger sus cuentas confidenciales. 

Las contraseñas seguras siguen siendo la mejor defensa contra los ataques de ciberseguridad, y hay muchos pasos que las personas y las empresas pueden seguir para asegurarse de que sus contraseñas sean únicas y difíciles de descifrar. 

La solución de administración de contraseñas de Dashlane ofrece un generador de contraseñas que usa un algoritmo llamado zxcvbn para medir y mejorar las contraseñas de usuarios, al tiempo que le permite ajustar las contraseñas en función de los requisitos de cada cuenta (es decir, la longitud y el uso de caracteres especiales). 

Las empresas pueden implementar el inicio de sesión único (SSO). Con el SSO, los empleados tienen menos contraseñas que recordar, y los administradores de TI tienen más control sobre la seguridad de la empresa y pueden rastrear ingresos extraños. 

Otra alternativa son los ingresos sin contraseñas, que Dashlane tiene ya en marcha. Usa reconocimiento facial opcional, del tipo que no se puede engañar con los ultrafalsos, o un PIN único, almacenado localmente en el dispositivo de un usuario, en lugar de una contraseña maestra. Este método resiste los ataques de phishing, ya que requiere que tanto el dispositivo como el propio usuario accedan a la cuenta. 

Las preocupaciones por la IA generativa y el mercado laboral, así como por la seguridad, han llegado al Congreso. Sam Altman, director ejecutivo de OpenAI, instó a los legisladores estadounidenses a crear regulaciones relativas a la IA generativa para mitigar los posibles daños durante una audiencia en el Senado en mayo. 

Aunque no está claro cómo procederán los legisladores estadounidenses, algunos países ya han creado mandatos para abordar los riesgos que plantea la IA. El Reino Unido financia la investigación de la detección de ultrafalsos y valora promulgar una ley que exija el etiquetado de las fotos y vídeos generados por IA, mientras que países como China y Corea del Sur ya han establecido leyes integrales que exigen el etiquetado de los ultrafalsos, así como el consentimiento del usuario.   

Por ahora, la proliferación y el avance de los ultrafalsos requiere que las personas y las empresas sean perspicaces para evitar fraudes y ataques basados en la identidad. Usted mismo puede probar su propia capacidad para detectar un ultrafalso a través del sitio web Detect Fakes, creado como parte de un proyecto de investigación del MIT, y mantenerse al tanto de las posibles estafas de phishing e ingeniería social. 

El uso de alternativas a la verificación de voz y facial, como los ingresos con contraseñas y sin contraseñas, puede ayudar a reducir el riesgo de ciberataques. 

W. Perry Wortman

Leer más