¿Se puede engañar a un detector de IA? SICO y la evasión con prompts

¿Se puede engañar a un detector de IA solo con un prompt, sin ningún modelo de paráfrasis adicional? Un artículo de 2024 en Transactions on Machine Learning Research dice que sí. Su método, SICO, construye un prompt a partir de unas pocas decenas de ejemplos humanos y, en las pruebas de los autores, llevó a seis detectores a un rendimiento similar al de lanzar una moneda.

Un artículo de NeurIPS 2025 fue más allá y guió a un parafraseador token a token con las puntuaciones del propio detector. Leídos juntos, los dos artículos hablan menos de trucos ingeniosos que de una debilidad estructural en la forma en que se construyen los detectores. Este artículo explica ambos y lo que implican.

Qué hace SICO, en pocas palabras

SICO son las siglas de Substitution-based In-Context example Optimization. Los trabajos de evasión anteriores, como el parafraseador DIPPER, entrenaban un modelo aparte para reescribir el texto de IA. SICO plantea otra pregunta: si los modelos grandes siguen bien los ejemplos, ¿pueden los ejemplos adecuados dentro de un prompt hacer el mismo trabajo?

A grandes rasgos, el método tiene tres partes:

• Describir la diferencia. Al modelo se le muestran pares de respuestas escritas por IA y por personas a las mismas tareas, y se le pide que describa qué distingue la escritura humana.
• Refinar los ejemplos. Los ejemplos en contexto se mejoran a lo largo de varias rondas con cambios de sinónimos a nivel de palabra y reformulaciones a nivel de frase. Un detector sustituto puntúa cada candidato, y se conservan los cambios que hacen que los ejemplos parezcan menos de máquina, con la restricción de que el significado siga siendo parecido.
• Reutilizar el prompt. El prompt final (la descripción de rasgos, la instrucción de la tarea y los ejemplos refinados) puede usarse después con nuevas entradas de la misma tarea.

La preparación es barata. Los autores indican que solo necesitaron 40 ejemplos escritos por personas y un número limitado de llamadas al modelo, unos 1 USD de uso de la API de GPT-3.5 según su estimación. SICO tiene dos variantes: SICO-Gen escribe directamente el resultado de la tarea y SICO-Para reescribe un texto de IA ya existente. Las instrucciones simples como "escribe como un humano" son otra cosa; consulta por qué los prompts sencillos suelen fallar.

Cómo se probó

Los experimentos usaron GPT-3.5 en tres tareas: redacción de ensayos académicos (completar párrafos de Wikipedia del conjunto SQuAD), respuesta a preguntas abiertas (preguntas de ELI5) y reseñas falsas de Yelp. Cada tarea tenía 200 textos generados por IA y 200 escritos por personas.

Se probaron seis detectores: un modelo RoBERTa ajustado con texto de GPT-3.5 (que también fue el sustituto usado durante la optimización), el detector de salidas de GPT-2 de OpenAI, GPTZero, el clasificador de texto de IA de OpenAI, DetectGPT y un método de log-rank. SICO se comparó con cuatro métodos de paráfrasis de referencia, entre ellos DIPPER y un prompt escrito a mano del tipo "haz que suene humano".

La calidad de los detectores se midió con el AUC, donde 1,0 significa una separación perfecta entre texto de IA y texto humano y 0,5 no es mejor que el azar.

Qué muestran los resultados

SICO superó a todos los métodos de referencia en todas las configuraciones y, en la mayoría de los casos, dejó el AUC de los detectores por debajo de 0,5. En la tarea de escritura académica las caídas fueron grandes:

• DetectGPT, original0,834
• DetectGPT, SICO-Para0,149
• GPTZero, original0,779
• GPTZero, SICO-Para0,290
• Detector de GPT-3.5, original0,908
• Detector de GPT-3.5, SICO-Para0,239

Fuente: Lu et al. 2024, tabla 1 (tarea de escritura). Un AUC de 0,5 equivale a adivinar al azar.

Un AUC muy por debajo de 0,5 significa que el detector clasificó el texto de SICO como más humano que los textos humanos reales. A modo de comparación, DIPPER solo llevó a GPTZero a 0,689 en la misma tarea.

La calidad también se mantuvo. En la evaluación humana de la tarea de escritura, el texto de SICO-Gen obtuvo 3,84 en legibilidad frente a 3,92 del texto humano, y completó la tarea el 93,6 % de las veces frente al 98,2 % de los autores humanos. DIPPER se quedó en un 70,6 % de tareas completadas.

Los autores también probaron una defensa. Emparejar el detector original con otro entrenado con texto de SICO y quedarse con la puntuación más alta elevó el AUC sobre la escritura de SICO-Para de 0,332 a 0,762 en el detector de GPT-2, casi sin pérdidas con el texto de IA ordinario.

Adversarial Paraphrasing: guiar con el propio detector

El equipo de la Universidad de Maryland detrás de este artículo partió de una observación razonable: los detectores más nuevos, sobre todo los entrenados con texto parafraseado, se habían vuelto más difíciles de engañar con una paráfrasis simple. En sus pruebas, la paráfrasis simple llegó a aumentar la tasa de verdaderos positivos con un 1 % de falsos positivos un 8,57 % en RADAR y un 15,03 % en Fast-DetectGPT.

Su método no requiere entrenamiento. Un modelo de instrucciones estándar (LLaMA-3-8B en su configuración) parafrasea el texto y, en cada paso, un detector puntúa los posibles tokens siguientes; se elige el candidato que parece menos propio de una IA. Los autores lo describen como una búsqueda guiada por el detector con un token de profundidad.

Guiado por un detector RoBERTa-Large de OpenAI, el ataque redujo la tasa de verdaderos positivos con un 1 % de falsos positivos un 64,49 % en RADAR y un 98,96 % en Fast-DetectGPT, con una reducción media del 87,88 % en ocho detectores que abarcaban clasificadores neuronales, marcas de agua y métodos zero-shot. La palabra clave es transferencia: optimizar contra un detector debilitó detectores de tipos completamente distintos. Los autores informan de caídas mayormente leves en la calidad del texto y analizan ese equilibrio de forma explícita.

Qué dice esta investigación sobre la solidez de los detectores

Si quitas los nombres de los métodos, ambos artículos plantean lo mismo. Un detector es un clasificador que ha aprendido una frontera entre dos distribuciones de texto. Cualquier cosa que pueda consultar a un detector, o a un sustituto razonable, puede aprender dónde está esa frontera. SICO lo consiguió con un puñado de ejemplos en un prompt, y Adversarial Paraphrasing, con decisiones token a token. Ninguno necesitó conocer el funcionamiento interno del detector.

De ahí se derivan tres consecuencias prácticas:

• La detección se convierte en una carrera armamentística. Defensas como el conjunto de detectores de SICO o el entrenamiento adversario ayudan frente a ataques conocidos, y cada nuevo ataque vuelve a desplazar la frontera.
• La transferencia hace que ningún detector esté a salvo por ser distinto. Optimizar contra un modelo debilitó a otros, lo que coincide con el panorama general del benchmark RAID.
• La forma superficial no es la autoría. Si cambios pequeños que preservan el significado invierten un veredicto, es que el veredicto seguía estadísticas de estilo, no quién hizo el trabajo intelectual. Es la misma razón por la que se marca a autores humanos cuidadosos, sobre todo a quienes escriben en inglés como segunda lengua.

Nada de esto hace aceptable eludir las normas académicas. Ambos artículos presentan su trabajo como pruebas de estrés que exponen debilidades para que la detección mejore. Si usas herramientas de IA en tu trabajo académico, el camino honesto es seguir la política de tu institución o revista, declarar su uso cuando se exija y conservar tus borradores para que tu proceso sea visible.

Qué papel tiene Academic Humanizer

Para los investigadores, la lección útil de esta literatura es que el significado y los veredictos de los detectores pueden ir por caminos distintos. Academic Humanizer está diseñado para mantener fijo el significado: Humanizer reescribe solo las frases que marcan los detectores, conserva tus afirmaciones, cifras, terminología y citas, y no toca las frases que se leen como humanas. Está validado con Turnitin, GPTZero, ZeroGPT, Copyleaks, Sapling y Originality.ai, y el AI Detection Report muestra cada reescritura junto al original para que apruebes tú mismo cada cambio.