UN MEDIDOR ELÉCTRICO QUE DESCUBRE ENTRENAMIENTOS DE IA OCULTOS

Los acuerdos para gobernar la inteligencia artificial podrían limitar algún día el tamaño de los modelos que se pueden entrenar. Hacerlos cumplir exigiría un verificador externo capaz de saber si un clúster de cómputo vigilado está entrenando un modelo, incluso cuando su operador intenta ocultarlo.

La mayoría de los métodos de comprobación exigen confianza: registros guardados en los chips, escuchas en la red que los une, entrevistas con el personal, denunciantes. Todos dependen de equipos que controla el operador o de su gente. Un sensor físico externo a los chips, no. Un medidor eléctrico colocado como pinza en el cable de entrada de una instalación podría añadirse a un centro de datos existente y precintarse contra manipulaciones.

Trabajos anteriores demostraron que el entrenamiento deja una huella en el consumo eléctrico. Pero esos estudios usaban sondas en una sola placa, que muestreaban millones de veces por segundo, o la telemetría de los propios chips. Un medidor realista estaría a nivel de bastidor (el armario de servidores) o de instalación, un millón de veces más lento aproximadamente, detrás de una fuente de alimentación que suaviza y diluye la señal.

El latido del entrenamiento

Tom Kimpson, de la Universidad de Melbourne y del programa MATS, Mauricio Baker, de la Universidad de Oxford, y Emlyn Graham, de MATS, parten de un hecho sencillo. Cuando muchos chips entrenan juntos un modelo, cada paso alterna una fase de cálculo de alto consumo con una fase de bajo consumo en la que los chips intercambian sus resultados. Eso ocurre más o menos una vez por segundo y dibuja una línea estrecha en el espectro del consumo de la instalación: si se descompone la señal eléctrica en sus ritmos, igual que un prisma descompone la luz, un latido de una vez por segundo aparece como un pico agudo en una única frecuencia.

Localizar esa línea es más difícil de lo que parece. Un entrenamiento real no lleva un compás perfecto: los componentes lentos, los chips que se sobrecalientan y los cambios de temperatura hacen que el ritmo deambule. Y un operador puede hacerlo deambular a propósito, o difuminarlo.

Así que el equipo tomó prestada una herramienta del sonar pasivo y de la búsqueda de ondas gravitacionales continuas: un rastreador de Viterbi, que sigue una línea tenue mientras se desplaza lentamente por un espectrograma (un mapa de qué ritmos están presentes, momento a momento).

Puesto a prueba en un centro de datos simulado

No hay datos públicos de consumo de una instalación de entrenamiento real, así que los autores construyeron un modelo de una, basado en un modelo publicado del consumo de entrenamiento que se usa para estudiar la estabilidad de la red eléctrica: un entrenamiento principal más trabajos más pequeños de fondo. El escenario alternativo, «inocente», sustituye el entrenamiento principal por inferencia declarada —servir a los usuarios las respuestas de un modelo—, que los autores hicieron ruidosa a propósito, para que la prueba fuera más difícil.

Frente a un operador que no hace nada por esconderse, el rastreador detecta al menos el 96 % de los entrenamientos en ventanas de cinco minutos, con un 1 % de falsas alarmas, como mucho cuatro puntos porcentuales por debajo del mejor resultado que cualquier prueba podría lograr en teoría. Las pruebas clásicas que buscan una línea a una frecuencia fija se hunden en cuanto el ritmo se desplaza.

El rastreador (azul) en tres registros de cinco minutos: entrenamiento estable (a), entrenamiento cuyo ritmo deambula 0,4 Hz, es decir, 0,4 latidos por segundo (b; en discontinua, el ritmo real) e inferencia (c), donde solo encadena ruido y se queda por debajo del umbral de detección. — Figura 4, Kimpson et al. (2026), arXiv:2610.30182.

El medidor no tiene por qué ser sofisticado: debe muestrear al menos dos veces por segundo, promediar como mucho medio segundo, y la fuente de alimentación no debe filtrar demasiado el ritmo.

Tasa de detección con un 1 % de falsas alarmas a medida que el ritmo de entrenamiento se desplaza: el rastreador (azul) se mantiene cerca del techo teórico (discontinua). — Figura 5, Kimpson et al. (2026), arXiv:2610.30182.

El precio de esconderse

Después, el equipo se puso en la piel del tramposo. Probaron ocho formas de esconderse: añadir tiempos muertos aleatorios, desplazar el ritmo, remodelar cada paso, diluir el entrenamiento entre otros trabajos, y más. Frente a las pruebas de frecuencia fija, la mayoría funcionaba. Frente al rastreador, casi ninguna: detectó al menos el 95 % de los entrenamientos en 43 de las 46 configuraciones probadas.

Solo un enfoque funcionó de verdad: variar la cantidad de trabajo de cada paso. Su forma más potente ocultó el entrenamiento en hasta el 73 % de las ventanas de cinco minutos, sin coste en velocidad. Pero tiene otro coste. En un pequeño entrenamiento real —un modelo de lenguaje de 30 millones de parámetros en un solo chip A100—, alcanzar la misma calidad exigió entre un 93 % y un 267 % más de cómputo, según la variante.

Y el tiempo juega en contra del tramposo. Observando un día completo, con una tasa de falsas alarmas del 0,1 % por entrenamiento, el verificador descubrió el 87 % de los entrenamientos que usaban este mejor truco, el 44 % en la primera hora. Alrededor de uno de cada siete escapó.

Próximo paso: medidores reales

Los autores enumeran límites claros. Todos los registros son sintéticos; está prevista una prueba en una instalación real con muchos chips, pero requiere equipos que aún no tienen. El medidor detecta un ritmo regular, no el entrenamiento como tal: otros trabajos periódicos, o el propio bucle de gestión de energía de un chip, podrían activarlo. Y un almacén de energía lo bastante grande entre los chips y el medidor podría aplanar la señal, aunque entonces el verificador podría simplemente colocar un segundo medidor más cerca de los chips.