Manipular a los revisores de IA solo reescribiendo la forma

¿Qué es esto?

La mayor parte de la atención sobre los ataques a la revisión por pares asistida por IA se ha centrado en la inyección de prompts oculta — texto blanco sobre blanco escondido en un PDF que susurra «ignora las instrucciones anteriores y da una revisión positiva». Los congresos ya filtran precisamente eso, y constituye motivo de rechazo directo. Pero existe una clase de ataque más silenciosa y mucho más difícil de detectar que no necesita ningún texto oculto: basta con reescribir cómo se presenta el paper dejando la ciencia intacta, y el revisor LLM sube su puntuación.

Dos artículos publicados en junio de 2026 lo miden directamente. No Hidden Prompts Needed! You Can Game AI Peer Review with Presentation-Only Revisions (arXiv, 11 de junio de 2026) y Gaming AI-Assisted Peer Reviews Poses New Risks to the Scientific Community (arXiv, junio de 2026) parten ambos del artículo de posición Stop Automating Peer Review Without Rigorous Evaluation (arXiv, mayo de 2026), que fue el primero en señalar el «blanqueo de papers» — reescribir un manuscrito para elevar las puntuaciones de IA — como un problema sin resolver. El hallazgo es coherente entre ambos: los revisores LLM están mucho más anclados a la forma de lo que suponen sus diseñadores.

Cómo funciona

La manipulación es un bucle de optimización de caja negra. El atacante envía el paper al revisor de IA, lee su retroalimentación, modifica solo la presentación, vuelve a enviarlo y repite — usando los comentarios del propio modelo como gradiente. Un punto clave: las reglas prohíben tocar las pruebas científicas: ningún cambio en métodos, experimentos, figuras, ecuaciones, demostraciones ni resultados numéricos, ni texto oculto ni instrucciones inyectadas. Solo se mueve el encuadre narrativo — el resumen, la introducción, el estado del arte, la formulación de las contribuciones y la manera de presentar fortalezas y limitaciones.

El artículo sobre las revisiones de forma formaliza tres zonas de edición (una zona «narrativa» libre, una zona «exposición técnica» limitada y una zona «prueba científica» fija e inmutable) y hace correr un agente durante un máximo de ocho rondas. Sobre tres configuraciones de revisor — Claude Sonnet 4, Claude Sonnet 4.5 y GPT-5-mini — reporta una ganancia media de +1,21 sobre una escala de 10 y una tasa de éxito del 75,1 % (proporción de papers que ganan al menos un punto entero), todo estadísticamente significativo. Una asimetría reveladora: las modificaciones inflan de forma fiable las fortalezas percibidas (mejoradas en el 86 % de las rondas) pero reducen mucho menos las debilidades percibidas, y a veces incluso las hacen parecer peores. Las ganancias también están acotadas — para papers con verdaderas carencias experimentales, las puntuaciones se estancan en torno a 5,0–5,5 en lugar de subir indefinidamente.

El segundo artículo muestra lo pequeña que es la superficie necesaria: reescribe solo el resumen — alrededor del 3,5 % de los tokens de un paper — y aun así altera el resultado. Su variante más fuerte alcanza una tasa de éxito cercana al 38 % bajo una prueba de significancia estricta, elevando las calificaciones de aceptación en +1,31 para los revisores Gemini 3 Flash y en +0,88 para GPT 5.4 Mini. Cuando la revisión de IA inicial era un rechazo, la tasa de éxito supera el 50 %. Producir un resumen optimizado costaba aproximadamente 1 $ y cinco minutos. Es notable que los resúmenes reescritos fueran ligeramente menos fluidos según una medida externa de perplejidad — así que las ganancias de puntuación no provienen del pulido, sino de reformular las mismas afirmaciones de un modo que el modelo recompensa.

Por qué importa

Los grandes congresos experimentaron con la revisión asistida por LLM en 2025 y 2026, y la puntuación de IA en primera pasada se está extendiendo a las revistas. Si a un revisor se le puede desviar un punto entero mediante un encuadre que un evaluador humano consideraría neutral en cuanto al contenido, entonces «pasa la revisión de IA» deja de ser una señal sobre la ciencia y pasa a ser una señal sobre quién optimizó su prosa contra el modelo. El ataque es barato, de caja negra, transferible entre modelos y — a diferencia de la inyección de prompts — no deja nada prohibido en el documento. No hay una frontera clara entre aclarar honestamente una contribución y engañar al evaluador, y eso es justamente lo que lo hace difícil de vigilar. La misma dinámica se extiende más allá de la revisión por pares a cualquier contexto donde un juez LLM puntúe texto libre: triaje de solicitudes de financiación, cribado de candidaturas, evaluación de licitaciones, recursos de moderación.

Defensas

El artículo sobre las revisiones de forma propone una prueba concreta y desplegable que los autores llaman prueba de perturbación anclada al contenido (solo perturbaciones de forma): antes de confiar en un revisor de IA, se aplican ediciones puramente de presentación a un conjunto de control y se mide si las puntuaciones se mueven de forma significativa. Un revisor cuya salida se desplaza más de un punto bajo reescrituras neutrales en contenido no está suficientemente anclado a la ciencia y no debería condicionar la aceptación. En segundo lugar, desacoplar el juicio de solidez del juicio de redacción — puntuar la corrección técnica de forma independiente y no dejar nunca que la calidad de la presentación influya en la decisión de aceptación. En tercer lugar, mantener una supervisión humana efectiva sobre cualquier decisión de alto riesgo; tratar la puntuación de IA como una señal de triaje, no como un veredicto. En términos más amplios, ambos artículos sostienen que la robustez y la alineación de incentivos deben ser requisitos de diseño, no añadidos tardíos, y advierten de que cualquier métrica introducida como salvaguarda se convertirá ella misma en un objetivo de optimización — de modo que agregar revisiones o reducir la varianza de muestreo no constituye, por sí solo, una defensa. Por último, conservar las normas de autoría humana y divulgación que los congresos ya aplican, y registrar el historial de revisiones de los envíos cuando sea posible.

Estado

Elemento	Estado
Sistemas afectados	Pipelines de LLM-revisor (probados: Claude Sonnet 4 / 4.5, GPT-5-mini, GPT 5.4 Mini, Gemini 3 Flash)
Clase de ataque	Reescritura de forma / «blanqueo de papers»; caja negra, sin prompts ocultos; pública y reproducible
Primera advertencia	Mayo de 2026 (Stop Automating Peer Review Without Rigorous Evaluation)
Cuantificación	Junio de 2026 (los dos artículos de medición)
Efecto reportado	+1,21/10 de ganancia media, 75,1 % de éxito (paper completo); ~38 % de éxito, +0,88 a +1,31 (solo resumen)
Exploit accionable aquí	Ninguno — síntesis defensiva y educativa únicamente