El estudio de Lasso encuentra que la marca de agua de texto desplaza los rechazos de LLM y las llamadas a herramientas

Andrea Siposova, investigadora de Lasso Security, el 17 de septiembre de 2026 publicó El impuesto de procedencia: comprendiendo el impacto de la marca de agua de LLM en el comportamiento de los agentes de IA, un estudio que informa que la marca de agua de texto SynthID-Text puede cambiar si un modelo de lenguaje rechaza una solicitud dañina y qué llamadas a herramientas genera un agente de IA. El estudio denomina el efecto conductual “deriva de muestreo”.

Según el estudio, la marca de agua está diseñada para procedencia, pero SynthID-Text cambia el proceso mediante el cual un modelo genera cada token siguiente. A nivel de modelo, eso puede modificar el comportamiento de seguridad, incluyendo si el modelo rechaza una solicitud dañina y si ese rechazo se mantiene bajo inyección de indicaciones; a nivel de agente, los mismos tokens muestreados pueden decidir tanto la herramienta que invoca un agente como los argumentos que le pasa a esa herramienta. El estudio informa que la deriva se manifiesta en la práctica tanto en el comportamiento de rechazo como en la llamada a herramientas del agente, que bajo inyección la marca de agua hizo que varios modelos fueran más propensos a responder solicitudes dañinas que de otro modo rechazarían, que el efecto depende del modelo y de la clave, y que las puntuaciones agregadas pueden ocultarlo cuando los cambios en direcciones opuestas se cancelan.

Una marca de agua que avanza hacia un despliegue regulado

En el anuncio del 14 de agosto de 2026 Cómo funciona la marca de agua de texto de Claude, Anthropic dijo que los futuros modelos Claude generarán texto que contenga una marca de agua basada en SynthID-Text de Google DeepMind, un cambio que está implementando para cumplir con la Ley de IA de la UE. Anthropic afirmó que el método deja la calidad y el contenido de las salidas de Claude prácticamente sin afectar. La publicación de Lasso describe la normativa de la UE como exigente a los proveedores de sistemas de IA que generan texto sintético a marcar las salidas en un formato legible por máquinas para que sean detectables como generadas artificialmente. La publicación también señala que Anthropic indica que la marca de agua opera a nivel de modelo y se extiende a los modelos compatibles accesibles a través de la API de la Plataforma Claude y los proveedores de nube, de modo que un agente construido sobre un modelo con marca de agua pueda recibir salidas marcadas incluso cuando el propio agente sea una aplicación separada.

Por qué la selección de tokens cambia el comportamiento

El estudio utilizó la configuración no distorsiva de SynthID-Text, que preserva la distribución original de tokens del modelo en promedio a través de la aleatoriedad de la marca de agua, aunque cualquier generación individual producida bajo una clave fija pueda diferir. La publicación cita a Dathathri et al., cuyo artículo en Nature informó que no hubo degradación medible de la calidad en casi veinte millones de respuestas de Gemini. Una marca de agua no distorsiva no implica un comportamiento idéntico bajo una clave fija, enfatiza la publicación: esa garantía promedia la aleatoriedad de la marca de agua, mientras que cualquier clave individual aún altera qué tokens se eligen a medida que se genera el texto.

El muestreo por torneos tiene más margen para alterar la selección de tokens cuando el modelo es incierto, explica el estudio. En salidas estructuradas como JSON, los elementos estructurales como llaves, claves y nombres de funciones suelen ser fáciles de predecir, mientras que los valores de los argumentos como consultas, números, rutas y destinatarios generan mayor incertidumbre. Un cambio que equivaldría a una variación léxica en prosa ordinaria puede, por lo tanto, reescribir un argumento que ejecuta un agente, aun cuando los pesos del modelo y el prompt permanezcan sin cambios.

Cómo el estudio midió la deriva de muestreo

Los investigadores emplearon un diseño pareado en dos experimentos. La llamada a herramientas se evaluó en el benchmark BFCL v4 de una sola vuelta AST, y el rechazo en 200 comportamientos dañinos de HarmBench más 100 controles benignos de JailbreakBench, con solicitudes dañinas probadas tanto sin modificar como bajo una técnica fija de inyección de indicaciones. Esa técnica inserta una instrucción adversaria en el prompt como si fuera contenido recuperado, indicando que el filtro de seguridad ha sido desactivado y dirigiendo al modelo a cumplir; la misma técnica se utilizó para cada prompt, modelo y temperatura.

Los experimentos se ejecutaron mediante el SynthIDTextWatermarkLogitsProcessor sin modificar de Hugging Face con 30 capas de torneo, una longitud de n-gramas de 5, una tabla de muestreo de 2^16 y un historial de contexto de 1.024. Cada elemento se generó con y sin SynthID usando semillas, lotes y orden de generación idénticos en cada temperatura, de modo que el procesador de marca de agua era la única variable dentro de cada par.

Precisión de llamadas a herramientas y rotación

En los ítems donde se espera una llamada a herramienta, la marca de agua redujo la precisión en seis de los siete modelos evaluados, con una disminución significativa en cuatro, informa el estudio. Debido a que una llamada que se vuelve incorrecta puede compensarse con una que se vuelve correcta, los investigadores también midieron el desacuerdo pareado, al que denominan “rotación”: la proporción de ítems para los que las ejecuciones con y sin marca de agua produjeron resultados diferentes. Usando un conjunto fijo de 1.150 tareas con llamada esperada en cada temperatura, el estudio encontró que a una temperatura de 1.0, el 16,8 % de los veredictos de llamadas de phi-4 difirieron entre condiciones mientras que su pérdida neta de precisión fue de 2,87 puntos; Llama-3.1-8B mostró un 9,9 % de rotación contra una pérdida neta de 0,87 puntos. En las 21 combinaciones modelo‑temperatura, la rotación promedió el 6,5 %, y su intervalo bootstrap excluyó cero en todos los casos.

Los perfiles de error difirieron según el modelo. En Llama-3.1-8B, la mayor contribución a la pérdida de precisión provino de argumentos incorrectos con -3.48 puntos, seguida de llamadas a herramientas incorrectas con -1.84 puntos, mientras que en phi-4 y Granite-3.2-8B predominó la salida malformada con -5.96 y -4.36 puntos. Una llamada bien formada a la herramienta correcta que lleva una ruta, destinatario, consulta o cantidad incorrecta es particularmente consecuente, señala el artículo, porque dicha llamada aún se ejecuta hasta el final mientras hace algo distinto a lo previsto.

Los rechazos se debilitan bajo inyección de indicaciones

Los rechazos también se generan token a token, por lo que la marca de agua puede afectarlos. El estudio informa que la marca de agua cambia el comportamiento de rechazo en solicitudes dañinas simples, con un efecto que se intensifica bajo inyección de indicaciones, donde los mayores cambios pasan de rechazo a cumplimiento. A una temperatura de 0.001, el churn de gemma-3-27b aumentó del 6.0% en solicitudes dañinas simples al 23.5% bajo inyección, mientras que su cambio neto de cumplimiento pasó de -1.0 a +12.5 puntos; el churn de gemma-3-12b subió del 7.5% al 11.0%, con el cambio neto de cumplimiento pasando de -0.5 a +9.0 puntos. Llama-3.1-8B mostró un churn del 14.0% a temperatura 0.001 y del 17.5% a temperatura 0.7 bajo inyección, aunque su cambio neto no fue individualmente significativo.

phi-4 y Qwen3-4B cambiaron poco bajo cualquiera de las condiciones; ambos tienden a sobre-rechazar, incluso en los controles benignos, y el artículo advierte que sus pequeños movimientos no deben tomarse como prueba de que la marca de agua mantiene intacto el comportamiento de seguridad en esos modelos. Para contextualizar el desacuerdo, el estudio comparó el churn inducido por la marca de agua bajo inyección a temperatura 0.7 con el churn producido al cambiar la temperatura de 0.001 a 0.7 sin marca de agua. El churn inducido por la marca de agua fue significativamente mayor en cuatro de los seis modelos; Granite-3.2-8B tuvo el mayor churn inducido por temperatura con un 15.5%, y su churn inducido por la marca de agua fue aún mayor, con un 21.5%.

Sensibilidad de la clave y recomendaciones

Debido a que el efecto de SynthID en la selección de tokens depende de la clave de la marca de agua, el estudio probó once claves a temperatura 0.7. Para Llama-3.1-8B, la clave del estudio aumentó el éxito del ataque en 3.5 puntos, mientras que las otras diez claves promediaron +4.4 puntos y oscilaron entre -4.5 y +14.5 puntos. La mayoría de las claves incrementaron el éxito del ataque para ambos modelos Gemma en relación con la línea base sin marca de agua, mientras que Granite-3.2-8B mostró una respuesta mixta, con claves que movían el éxito del ataque en ambas direcciones. Donde la clave o configuración de la marca de agua es controlada por el proveedor del modelo, señala el artículo, dichos cambios de comportamiento pueden ocurrir fuera del alcance del desarrollador que construye el agente.

El estudio recomienda volver a ejecutar evaluaciones de agentes y pruebas de red con la configuración exacta de la marca de agua prevista para el despliegue, comparando salidas marcadas y sin marcar en entradas idénticas y probando bajo inyección de indicaciones. Los resultados no argumentan en contra de la marca de agua para la procedencia, afirma el artículo: la procedencia y la estabilidad del comportamiento son propiedades distintas, y una marca de agua que sea detectable y que no altere la calidad del texto no garantiza que un agente mantenga el mismo comportamiento de llamada a herramientas o de seguridad una vez que la marca de agua se active. Aunque el estudio examinó SynthID-Text, el artículo añade que la preocupación se extiende a cualquier intervención que modifique la forma en que se seleccionan los tokens en un sistema que actúa sobre esos tokens.