Capítulo 1 — Pregunta de investigación y método de revisión de la literatura
Mapa de la lección
Lección 01 publicada. Mapa, ejemplo, EX001.
flowchart TD
N0["Resultados de aprendizaje"]
N1["1.1 Del tema a la pregunta"]
N2["1.2 Una búsqueda documentada"]
N3["1.3 Extracción de la evidencia"]
N4["1.4 Juzgar las fuentes"]
N5["1.6 Actividades de práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX001"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["1.1 Del tema a la pregunta"]
N2["1.2 Una búsqueda documentada"]
N3["1.3 Extracción de la evidencia"]
N4["1.4 Juzgar las fuentes"]
N5["1.6 Actividades de práctica"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]
[Resultados de aprendizaje]
|
v
[1.1 Del tema a la pregunta]
|
v
[1.2 Una búsqueda documentada]
|
v
[1.3 Extracción de la evidencia]
|
v
[1.4 Juzgar las fuentes]
|
v
[1.6 Actividades de práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX001]
Resultados de aprendizaje
Usted será capaz de (1) pasar de un tema a una pregunta investigable con una unidad de análisis clara; (2) realizar una búsqueda bibliográfica sistemática y documentada en foros de seguridad y de aprendizaje automático y en servidores de preprints; (3) extraer la evidencia a una matriz de comparación; (4) juzgar la calidad de las fuentes, incluidos los preprints y el material de proveedores; y (5) escribir una sección breve y honesta sobre el estado de la cuestión.
1.1 Del tema a la pregunta
«La privacidad de la IA» es un tema. «¿Reduce la eliminación de registros de entrenamiento duplicados la ventaja de la inferencia de pertenencia contra un clasificador de texto ajustado finamente, y con qué coste de exactitud?» es una pregunta. Una pregunta investigable nombra un sistema (clasificador ajustado finamente), una intervención o factor (deduplicación), un resultado (ventaja de la inferencia de pertenencia; exactitud) e implícitamente una comparación (con frente a sin). El acrónimo PICO de la medicina basada en la evidencia (población, intervención, comparación y resultado, por sus siglas en inglés) es una plantilla útil. Compruebe pronto la viabilidad: ¿puede obtener o sintetizar datos, dispone de capacidad de cómputo, puede hacerse el trabajo en el plazo, y es ético y está autorizado?
1.2 Una búsqueda documentada
La literatura sobre seguridad de la IA está repartida entre congresos de seguridad (IEEE S&P, USENIX Security, ACM CCS, NDSS), congresos de aprendizaje automático (NeurIPS, ICML, ICLR) y preprints de arXiv, además de los marcos de NIST, OWASP y MITRE. Redacte un protocolo de búsqueda: bases de datos (por ejemplo, DBLP, Google Scholar, arXiv, ACM Digital Library), cadenas de búsqueda, intervalo de fechas, criterios de inclusión y exclusión, y la fecha en que buscó. Siga las citas hacia delante y hacia atrás a partir de artículos semilla; para la inferencia de pertenencia, Shokri et al. (arXiv:1610.05820) es la semilla evidente. Registre los recuentos en cada etapa (encontrados, cribados, incluidos) para que un lector pueda repetir la búsqueda. Es una versión ligera de la práctica de la revisión sistemática; le protege de citar solo lo que ya conocía.
1.3 Extracción de la evidencia
Construya una matriz con una fila por artículo y columnas para: modelo de amenaza (conocimiento y acceso del atacante), tipo y tamaño del modelo, datos, métrica, resultado principal, defensa probada, evaluación adaptativa, disponibilidad del código y limitaciones. En trabajos sobre privacidad, anote si el artículo informa la tasa de verdaderos positivos con una tasa de falsos positivos baja o solo la exactitud media o el AUC; lo primero importa porque un ataque que identifica con confianza a unas pocas personas es un daño real aunque su rendimiento medio parezca modesto. La matriz revelará desacuerdos y lagunas que se convertirán en su contribución.
1.4 Juzgar las fuentes
Ordene la evidencia según lo comprobable que sea. Los artículos revisados por pares con código publicado son los más sólidos; los preprints pueden ser excelentes, pero no están revisados; los blogs de proveedores y el marketing son afirmaciones que hay que verificar, no evidencia. Las normas y los marcos (NIST AI 100-1, AI 100-2 E2025, ISO/IEC 42001) definen vocabulario y expectativas; no son resultados experimentales. Cuando un preprint aparece después en un foro, cite la versión final si difiere. Nunca cite un artículo que no haya abierto y nunca invente un DOI: si no encuentra un identificador, cite el título, los autores, el año y la URL que realmente utilizó.
1.5 Ejemplo resuelto (caso sintético de Harbourline)
El protocolo de Leo buscó en DBLP, arXiv y Google Scholar el 2 de febrero con cadenas que combinaban "membership inference", "fine-tuning", "deduplication" y "memorization", entre 2016 y 2026, incluyendo estudios empíricos sobre clasificadores o modelos de lenguaje y excluyendo los artículos sin un modelo de amenaza declarado. De 212 resultados, 61 superaron el cribado por título, 24 el cribado por resumen y 17 la lectura del texto completo. La matriz mostró que la mayoría de los estudios informaban el AUC, pocos informaban la TPR con una FPR del 0,1 %, y solo tres probaban directamente la deduplicación, todos sobre modelos de lenguaje generativos y ninguno sobre clasificadores ajustados finamente. El párrafo de Leo sobre el estado de la cuestión lo dijo con claridad y citó a Carlini et al. (arXiv:2012.07805) sobre la extracción literal como el daño que motiva el estudio.
El laboratorio de inferencia de pertenencia muestra la idea central que Leo estudiará: cuando un modelo memoriza en la práctica sus registros de entrenamiento (k = 1), la pertenencia es detectable; cuando generaliza (k mayor), la señal se desvanece.
"""Lab M: membership inference against an overfit 1-nearest-neighbour 'model'
that returns a confidence score. Synthetic records only; teaching model."""
import random, math
rng = random.Random(5)
def rec():
y = rng.random() < 0.5
return [rng.gauss(0.6 if y else -0.6, 1.0) for _ in range(4)], int(y)
members = [rec() for _ in range(150)]; nonmembers = [rec() for _ in range(150)]
def confidence(x, y, k):
# k-NN vote share for the true label, computed over the training set
d = sorted((sum((a-b)**2 for a, b in zip(x, m)), my) for m, my in members)
return sum(1 for _, my in d[:k] if my == y)/k
def auc(pos, neg):
s = sum((p > n) + 0.5*(p == n) for p in pos for n in neg)
return s/(len(pos)*len(neg))
for k in (1, 5, 25):
pos = [confidence(x, y, k) for x, y in members]
neg = [confidence(x, y, k) for x, y in nonmembers]
best = max(sum(p >= t for p in pos)/len(pos) - sum(n >= t for n in neg)/len(neg)
for t in sorted(set(pos + neg)))
print(f"k={k:2d} attack_auc={auc(pos, neg):.3f} best_advantage={best:.3f}")
Salida esperada:
k= 1 attack_auc=0.600 best_advantage=0.200
k= 5 attack_auc=0.521 best_advantage=0.073
k=25 attack_auc=0.520 best_advantage=0.060
1.6 Actividades de práctica
- Escriba su tema y luego tres preguntas candidatas en forma PICO; elija una y justifique su viabilidad. 2. Redacte un protocolo de búsqueda y aplíquelo, registrando los recuentos. 3. Construya una matriz de evidencia de diez filas. Para las preguntas, nombre el sistema, la intervención o factor, la comparación y el resultado, como hace la pregunta de Leo. Juzgue la viabilidad según los datos, el cómputo, el tiempo y la ética, y descarte cualquier pregunta que no supere alguno de ellos. Para la búsqueda, registre las bases de datos, las cadenas, las fechas y los recuentos en cada etapa, para que otra persona pueda repetirla. En la matriz, incluya si cada artículo informa la TPR con una FPR baja.
1.7 Errores y límites
Cinco errores se repiten, y cada uno debilita el trabajo de fin de máster desde el principio:
- Preguntas demasiado amplias para responderlas en un trabajo de fin de máster; una pregunta amplia no puede responderse en el plazo.
- Búsquedas que se detienen en la primera página de un buscador; una búsqueda que se detiene pronto pierde trabajos como los tres estudios sobre deduplicación que encontró Leo.
- Tratar el blog de un proveedor como evidencia; el blog de un proveedor es una afirmación que hay que verificar.
- Citar artículos que no ha leído, o fabricar identificadores; los identificadores no citados o inventados dañan la confianza en todas las demás citas.
- Informar solo de promedios en los ataques contra la privacidad; los promedios ocultan a las pocas personas que un ataque identifica con confianza, que es el daño que estudia Leo.
Ejercicios — capítulo 1
- EX001 — PICO. Escriba una pregunta PICO sobre las defensas contra la inyección de instrucciones (prompt injection). Rúbrica: 3 = los cuatro elementos son concretos y viables; 2 = uno es vago; 1 = faltan dos; 0 = solo el tema.
- EX002 — Protocolo de búsqueda. Enumere seis elementos de un protocolo de búsqueda documentado. Rúbrica: 3 = fuentes, cadenas, fechas, criterios, fecha de búsqueda, recuentos; 2 = cuatro; 1 = dos; 0 = ninguno.
- EX003 — Columnas de la matriz. Nombre seis columnas de la matriz para una revisión de la literatura sobre seguridad de la IA y explique por qué importa una de ellas. Rúbrica: 3 = seis pertinentes más la justificación; 2 = seis; 1 = tres; 0 = ninguna.
- EX004 — FPR baja. ¿Por qué informar la TPR con una FPR baja en la inferencia de pertenencia? Rúbrica: 3 = el daño procede de la identificación confiada de algunas personas; los promedios lo ocultan; 2 = parcial; 1 = vago; 0 = incorrecto.
- EX005 — Orden de las fuentes. Ordene: blog de un proveedor, preprint de arXiv con código, artículo revisado por pares sin código, marco del NIST, y explique el papel del marco. Rúbrica: 3 = orden razonable más el marco como vocabulario y no como resultados; 2 = solo el orden; 1 = vago; 0 = nada.
- EX006 — Lectura del laboratorio. ¿Qué AUC informa el laboratorio de inferencia de pertenencia con k = 1 y con k = 5? Rúbrica: 3 = 0.600 y 0.521 con interpretación; 2 = solo los números; 1 = un número; 0 = incorrecto.
- EX007 — Identificador ausente. No encuentra un DOI para un artículo de un taller. ¿Cómo lo cita? Rúbrica: 3 = autores, título, foro/año, URL realmente utilizada, sin DOI inventado; 2 = parcial; 1 = vago; 0 = inventa uno.
Síntesis del capítulo
Un buen trabajo de fin de máster empieza con una pregunta acotada y viable y con una búsqueda que otra persona podría repetir. La matriz de evidencia convierte la lectura en un mapa de lagunas, y unas fuentes honestas hacen que el mapa sea fiable.
Siga estudiando — capítulo 01 de 08
← Página del curso · Índice de capítulos del curso · Capítulo 02 (borrador) →