Vulneran la biometría usando solo respuestas 'aceptado/rechazado': la plantilla se reconstruye en el 97,6–100% de los casos

Un sistema de reconocimiento facial que solo responde 'aceptado' o 'rechazado' se considera bastante seguro: no se filtra ni la puntuación de similitud ni la propia plantilla. Un equipo de investigadores —Eliron Rahimi, Margarita Osadchy y Orr Dunkelman— ha demostrado que eso no basta. Un solo bit de retroalimentación por consulta permite reconstruir una plantilla biométrica protegida casi a la perfección: el error de reconstrucción resulta inferior al 1% del umbral de autenticación en el 97,6–100% de los casos. El preprint se publicó en arXiv con el número 2610.25118, y el código está disponible en GitHub.

Una fuga a través de la propia interfaz

Los sistemas biométricos modernos protegen cada vez más sus plantillas con mecanismos dedicados: los vectores faciales no se almacenan en claro. Pero la verificación sigue reduciéndose a una comparación: el sistema acepta al usuario si la similitud con la referencia supera un umbral. Cada 'sí' o 'no' le dice al atacante en qué lado de esa frontera cae su vector de prueba. Los autores explotan precisamente estas restricciones geométricas del proceso de verificación. Una serie de consultas cuidadosamente elegidas va estrechando la región donde puede encontrarse la plantilla de referencia, hasta calcularla con precisión numérica.

La conclusión principal del trabajo es que el resultado no depende del esquema de protección de las plantillas. La fuga no se origina en el almacenamiento, sino en el propio proceso de autenticación. Los ataques de reconstrucción anteriores se basaban en las puntuaciones de similitud que entregaba el sistema. Los sistemas binarios, que solo muestran una decisión, se consideraban mucho más resistentes, ya que un solo bit transporta mucha menos información. Rahimi y sus coautores afirman ser los primeros en llevar un ataque de este tipo a un resultado práctico.

Cómo la distribución de plantillas acelera el ataque

La segunda parte del trabajo aborda el coste del ataque. El número de consultas al sistema sigue siendo la principal limitación: los servicios reales pueden bloquear la actividad sospechosa. Por ello, los autores proponen métodos para elegir las consultas teniendo en cuenta la distribución de las plantillas biométricas. En sistemas que devuelven puntuaciones, esto reduce el número de consultas necesarias hasta 5 veces respecto a ataques recientes. El modelo de amenaza se vuelve más realista: el atacante necesita muchas menos interacciones con la interfaz.

El tercer paso combina ambos resultados. El ataque binario geométrico incorpora un prior de difusión preentrenado para rostros. Este indica qué aspecto tienen los rostros plausibles y descarta regiones donde la plantilla no puede encontrarse en absoluto. La complejidad en número de consultas se reduce en torno a 5 veces. Aquí, la IA generativa no ataca directamente al sistema, sino que funciona como una fuente de conocimiento sobre la distribución de los datos, lo que hace la búsqueda mucho más eficiente.

Resultados clave

• La retroalimentación binaria (aceptado/rechazado) basta para reconstruir una plantilla. • El error de reconstrucción es inferior al 1% del umbral de autenticación en el 97,6–100% de los casos. • Elegir las consultas según la distribución reduce su número hasta 5 veces en ataques por puntuación. • Un prior de difusión preentrenado para rostros reduce en torno a 5 veces la complejidad del ataque binario. • La reconstrucción es posible sin importar el mecanismo de protección de las plantillas. • Autores: Eliron Rahimi, Margarita Osadchy, Orr Dunkelman.

Qué deben cambiar los desarrolladores de estos sistemas

La conclusión práctica principal es que cifrar o transformar las plantillas en el almacenamiento no resuelve el problema mientras la interfaz de verificación pueda consultarse casi sin restricciones. Los equipos que construyen autenticación biométrica deberían evaluar el modelo de amenaza junto con la propia API: cuántos intentos se permiten, cómo se cuentan a nivel de dispositivo, cuenta y red, y cómo se detectan series de consultas estructuralmente similares. Limitar la frecuencia de las consultas y vigilar secuencias anómalas pasan a ser parte de la protección de las plantillas, no una medida accesoria.

Hay además una conclusión más general. Los modelos de difusión entrenados con rostros le dan al atacante información lista sobre la distribución de los datos, y cada nuevo modelo generativo abarata este tipo de ataques. Quienes elijan un esquema de protección biométrica deberían comprobar su resistencia frente a ataques con priors generativos, y no solo frente a la fuerza bruta clásica.

Los autores subrayan que la conclusión del trabajo atañe a una limitación fundamental: mientras un sistema devuelva una decisión, esa decisión transporta información geométrica. La fuga solo puede eliminarse por completo reduciendo la propia retroalimentación y el número de intentos permitidos.