Capítulo 1 — Razonamiento matemático
Mapa de la lección
Lección 01 publicada. Mapa, ejemplo, EX001.
flowchart TD
N0["Resultados de aprendizaje"]
N1["1.1 Enunciados y cuantificadores"]
N2["1.2 Técnicas de demostración"]
N3["1.3 Funciones y vectores"]
N4["1.4 Optimización"]
N5["Síntesis"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX001"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["1.1 Enunciados y cuantificadores"]
N2["1.2 Técnicas de demostración"]
N3["1.3 Funciones y vectores"]
N4["1.4 Optimización"]
N5["Síntesis"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]
[Resultados de aprendizaje]
|
v
[1.1 Enunciados y cuantificadores]
|
v
[1.2 Técnicas de demostración]
|
v
[1.3 Funciones y vectores]
|
v
[1.4 Optimización]
|
v
[Síntesis]
|
v
[Ejemplo resuelto] --> [Ejercicio EX001]
Resultados de aprendizaje
Usted podrá (1) leer y escribir enunciados matemáticos precisos; (2) usar técnicas de demostración (directa, por contradicción, por contraejemplo) para razonar sobre afirmaciones de seguridad; (3) trabajar con funciones, vectores y optimización sencilla; y (4) ver por qué un único contraejemplo derriba una afirmación universal de seguridad.
1.1 Enunciados y cuantificadores
Las afirmaciones de seguridad son enunciados matemáticos disfrazados. «Ask Lumen nunca revela la cita de otro paciente» significa: para todas las entradas y para todos los usuarios, la salida no contiene datos de otro paciente. Un enunciado universal («para todo») se refuta con un contraejemplo; un enunciado existencial («existe un ataque») se demuestra exhibiendo uno. Esta asimetría explica por qué los atacantes tienen ventaja: necesitan una entrada que funcione, mientras que los defensores deben cubrirlas todas. Escribir la afirmación por extenso deja a la vista lo que hay que comprobar: cada usuario, cada entrada, cada vía por la que los datos llegan a la salida, incluidos los documentos recuperados y los resultados de las herramientas.
1.2 Técnicas de demostración
La demostración directa deriva la conclusión de los supuestos. La demostración por contradicción supone lo contrario y deriva una imposibilidad. La demostración por contraejemplo refuta una afirmación universal. En seguridad de la IA, las demostraciones son raras para sistemas completos pero comunes para componentes: «si el servicio de políticas deniega toda llamada a herramientas sin un token válido, no se produce ninguna reserva no autenticada» es una demostración directa a partir de una propiedad de diseño. La demostración basada en la propiedad de diseño solo vale lo que vale su supuesto: si alguna vía llega al sistema de reservas sin pasar por el servicio de políticas, la conclusión falla. Comprobar ese supuesto es una tarea de arquitectura, que capítulos posteriores automatizan con búsqueda en grafos.
1.3 Funciones y vectores
Un modelo es una función de entradas a salidas. Entradas como imágenes o registros de atributos son vectores; la distancia entre vectores (por ejemplo, la distancia euclidiana o la máxima diferencia absoluta) formaliza la idea de «cambio pequeño». Muchos ataques buscan un vector cercano que produzca una salida distinta (Szegedy et al., arXiv:1312.6199). La elección de la distancia importa. Con la máxima diferencia absoluta, todos los atributos pueden cambiar a la vez hasta una cantidad fija; con la distancia euclidiana, un cambio grande en un solo atributo agota todo el presupuesto. El laboratorio de evasión usa más adelante el primer tipo, de modo que su tamaño de perturbación eps acota por separado el cambio en cada coordenada. Una afirmación de robustez no significa nada hasta que se declaran la distancia y su tamaño.
1.4 Optimización
El entrenamiento minimiza una función de pérdida; los ataques la maximizan (o minimizan la distancia con la condición de que la salida cambie). Ambos son problemas de optimización, por eso las mismas herramientas matemáticas —gradientes, restricciones, búsqueda— aparecen en los dos lados. El laboratorio de evasión muestra ambos lados en pocas líneas. El entrenamiento ajusta los pesos en contra del gradiente de la pérdida para reducir el error; el ataque mueve cada punto de prueba según el signo de ese mismo gradiente respecto a la entrada para aumentar el error. Con eps de 0,5, la exactitud del modelo de juguete cae de 0,985 a 0,840, lo que muestra el poco esfuerzo que necesita una búsqueda guiada por el gradiente cuando el modelo es sencillo.
1.5 Ejemplo resuelto (caso sintético de LCH)
El proveedor de LCH afirmaba: «NoShow no puede ser manipulado por los pacientes». Rina lo reescribió como enunciado universal: para todos los pacientes y todos los valores de los campos que controlan los pacientes (preferencias de contacto, motivo declarado de la visita), la predicción no cambia en un sentido que el paciente prefiera. Después encontró un contraejemplo en un registro sintético: cambiar el «motivo» de «seguimiento» a «urgente» bajó el riesgo previsto de inasistencia de 0,42 a 0,18, lo que podría hacer subir a un paciente en una lista de recordatorios. La afirmación era falsa tal como estaba formulada; el proveedor la revisó.
1.6 Errores y límites
- Aceptar afirmaciones universales probadas con unos pocos ejemplos.
- Confundir «no se encontró ningún ataque» con «no existe ningún ataque».
- Nociones vagas de «cambio pequeño» sin medida de distancia.
El ejemplo de NoShow muestra los tres. La afirmación del proveedor se había probado solo con registros ordinarios; nadie había buscado un cambio en un campo que controlan los pacientes; y «manipulado» no tenía una medida declarada. El contraejemplo de Rina, un cambio de 0,42 a 0,18 causado por un solo campo, zanjó la cuestión de inmediato. Una afirmación revisada nombraría los campos, el tamaño de cambio que se considera aceptable y cómo se probó.
Ejercicios
- EX001 — Cuantificadores. Escriba «el filtro bloquea todos los intentos de inyección» con cuantificadores explícitos y diga qué la refuta. Rúbrica: 3 = ∀ entradas de la clase, bloqueadas; una instancia no bloqueada la refuta; 2 = parcial; 1 = vago; 0 = nada.
- EX002 — Contraejemplo. ¿Por qué un solo registro refutó la afirmación del proveedor? Rúbrica: 3 = afirmación universal falsada por una instancia; 2 = parcial; 1 = vago; 0 = incorrecto.
- EX003 — Distancia. Para x = (1; 2; 3) e y = (1,5; 2; 2), calcule las distancias euclidiana y de máxima diferencia absoluta. Rúbrica: 3 = √(0,25 + 0 + 1) ≈ 1,118 y 1; 2 = una; 1 = método; 0 = nada.
Síntesis
El razonamiento matemático hace precisas las afirmaciones de seguridad. Las afirmaciones universales necesitan evidencia sólida; un contraejemplo basta para refutarlas; «pequeño» necesita una distancia.
Siga estudiando — capítulo 01 de 40
← Página del curso · Índice de capítulos del curso · Capítulo 02 (borrador) →