Me propuse construir un detector de deepfakes para reclamaciones de seguros de auto. Una foto real, sin editar, lo derrotó.

La tarde en que una foto genuina atravesó mi detector de cabo a cabo

Construí primero la señal de pixel-forensics, porque era la parte que se sentía como ingeniería de verdad, y estaba calladamente orgulloso de ella. Razona sobre el ruido del sensor y los artefactos del dominio de la frecuencia, las pistas que un modelo de difusión deja cuando alucina un parachoques destrozado. En la demo esa señal está etiquetada como simulada, un sustituto de un modelo aprendido de artefactos generativos que aún no he entrenado, y quiero decirlo con claridad antes que nada. Pero la lógica que la envuelve era mía, y funcionó. Le pasé un parachoques falsificado por difusión y se encendió exactamente como yo quería.

Luego le pasé una reclamación escenificada que había etiquetado CLM-C-1044, una colisión trasera en Raleigh, y limpió la foto sin objeción. Consistente. Sin artefactos. Ruido del sensor presente. Esa era la respuesta correcta, y es exactamente lo que me inquietó, porque CLM-C es fraude. La foto es una imagen genuina de cámara. En el escenario se había tomado de una reclamación previa liquidada y se había vuelto a presentar contra una pérdida nueva. Mi mejor señal no era débil. Estaba apuntada a la pregunta equivocada. Preguntaba «¿es esta imagen falsa?», y para una foto real reciclada la respuesta honesta es no.

Una foto real reciclada supera todas las pruebas de autenticidad del mundo, porque es real.

Esa tarde es la razón de que lo que terminé construyendo no sea un detector en absoluto. Puedes enrutar las mismas cuatro reclamaciones tú mismo en la demo en ejecución. Cada reclamación, imagen, aseguradora y registro histórico en ella es sintético, así que nada ahí es un asegurado real ni una pérdida real. Pero el fallo que dramatiza no está inventado. Es el fallo en el que yo caí.

¿Por qué una foto real es el fraude más difícil de detectar?

Vuelvo una y otra vez a la asimetría que rompió mi primer diseño. Toda la carrera armamentista del fraude asegurador se enmarca como «construir un mejor detector de deepfakes», y ahora creo que ese marco es la trampa. Un único clasificador de autenticidad falla en dos direcciones a la vez. Queda obsoleto en el momento en que mejoran los generadores de imágenes, y es estructuralmente ciego ante el fraude más antiguo del manual, una foto real reciclada de una reclamación previa, porque esa foto supera todas las pruebas de autenticidad por ser genuina.

La presión detrás de todo esto es real aunque mis reclamaciones sean sintéticas. El 98% de las aseguradoras reportan un aumento de medios manipulados y solo el 32% se siente «muy confiado» detectando deepfakes (Verisk, 2026 State of Insurance Fraud). El 36% de los consumidores en esa misma encuesta dice que alteraría una imagen de reclamación. Los intentos de fraude con deepfakes han subido un 2,137% en tres años (Facia.ai), y una aseguradora de autos del Reino Unido vio un aumento del 300% en imágenes de vehículos manipuladas con IA en un solo año (The Guardian / Milliman). El reflejo de la industria ha sido enchufar un detector de terceros a la presentación. El 65% de las aseguradoras ya opera uno (Verisk, 2026). Ese reflejo atrapa las falsificaciones obvias y deja pasar la foto real reciclada directo al pago.

La frase que seguía escribiendo en la pizarra era que la autenticación tiene que ser una compuerta, no un informe. Un informe se lee después de que el dinero se mueve. Una compuerta opera antes. Y una compuerta no puede apoyarse en una sola señal que una foto genuina derrota por definición.

Los agentes aconsejan, el código decide

Tomé temprano una decisión arquitectónica que defendería ante un regulador sin titubear: la decisión de enrutamiento no pertenece al modelo de lenguaje. Un equipo forense de cuatro analistas más un Challenger adversarial investiga una reclamación y produce veredictos tipados. Luego una compuerta de política determinista, código plano fuera de los agentes, agrega esos veredictos y las señales en bruto contra los umbrales de la aseguradora y emite una sola decisión de enrutamiento reproducible. AUTO-PROCEED, SIU-REFERRAL, HUMAN-REVIEW o ABSTAIN. El límite de confianza es el código, nunca un autoinforme de un LLM.

Los dos roles de razonamiento, Narrative-Consistency y el Challenger adversarial, corren a través de un adaptador intercambiable por proveedor que por defecto usa claude-opus-4-8, y sin clave de API configurada toda la compuerta cae a un stub offline determinista y aún así corre de extremo a extremo. Me gustó esa propiedad cuanto más la pensaba, porque la reproducibilidad es lo que un responsable de cumplimiento realmente necesita. Pregunta a la compuerta la misma cuestión dos veces y responde igual, y puede mostrar su trabajo.

Los agentes aconsejan. El código decide. Un regulador puede auditar una regla. Nadie puede auditar una vibra.

Eso no es una preferencia abstracta en 2026. Un NAIC Model Bulletin sobre IA ha sido adoptado por 24 estados, la Colorado AI Act entra en vigor el 30 de junio de 2026, y el plazo de alto riesgo de la EU AI Act cae en agosto de 2026 con sanciones de hasta 35 M€ o el 7% de la facturación global. Externalizar el modelo no externaliza la responsabilidad. Si una aseguradora automatiza una decisión de reclamaciones, tiene que poder defender esa decisión, y «el modelo estaba seguro» no es una defensa.

¿Qué significa realmente «atrapado» aquí?

Cuando por fin vi cómo se atrapaba CLM-C, quise saber exactamente qué señal hizo el trabajo, porque ya no confiaba en mi propia intuición al respecto. Así que abrí el análisis de decisión y lo leí línea por línea. El Analista de Procedencia aprobó la reclamación: GPS de captura a 1,1 km de la ubicación reportada de la pérdida, fecha de captura coherente con la fecha de la pérdida. El Analista de Pixel-Forensics, el que me había enorgullecido tanto, también lo aprobó, con la etiqueta simulada ahí mismo en pantalla, artifact_score 0.06, ruido del sensor presente. Ambas señales de «¿es falsa?» lo limpiaron, exactamente como debían, porque la foto es real.

El atrape vino de los otros dos. El Analista de Reutilización comparó el hash perceptual de 256 bits de la foto contra un índice histórico de reclamaciones y encontró una reclamación previa liquidada, HIST-4019, a distancia de Hamming 0, un gemelo píxel a píxel presentado meses antes. El Analista de Consistencia Narrativa leyó el texto FNOL contra la imagen y señaló una contradicción: el relato describe un roce lateral mientras la foto muestra daño trasero. Luego el Challenger adversarial, un escéptico al que le indico específicamente que refute cada señalamiento e intente limpiar al reclamante, puso a prueba ambos señalamientos e informó que ambos sobrevivieron. Solo entonces la compuerta determinista enrutó la reclamación a SIU como evidencia reciclada.

El detalle con el que hago que todos se detengan es este: el atrape no depende en absoluto de la señal de píxeles simulada. Los dos agentes construidos para responder «¿es falsa?» ambos limpiaron esta reclamación. Los dos que preguntaron «¿hemos visto antes esta imagen exacta, y se sostiene la historia?» son los que lo detuvieron. Ese es todo el argumento a favor de un equipo frente a un clasificador, y CLM-C es la versión verdadera más pequeña que pude construir.

Las señales que construí para detectar una falsificación ambas lo limpiaron. Las que lo atraparon preguntaron si ya habíamos pagado una vez por esta foto.

El número con el que me niego a abrir

Tengo un resultado de benchmark muy fácil de usar mal, y prefiero contextualizarlo yo mismo antes que ver a alguien citármelo despojado de su alcance. Sobre un conjunto sintético etiquetado de 120 reclamaciones (47 limpias, 25 falsificadas por difusión, 20 reales recicladas, 13 ambiguas, 15 con metadatos falsificados), la compuerta enruta cada reclamación correctamente y publica una hoja limpia: 100% de paso directo en reclamaciones limpias, 0% de falsa acusación, 100% de las decisiones con un registro de auditoría verificable, recall 1.0 frente a las etiquetas. Esos números son reales, y también son propiedades de un conjunto construido cuyas clases de fraude llevan firmas detectables por diseño. No son una garantía de mundo abierto, y lo digo cada vez sin excepción.

El número con el que realmente abro es la brecha de cobertura. De los 35 fraudes de ese conjunto que no llevan ningún artefacto de autenticidad, las 20 reales recicladas y las 15 con metadatos falsificados, una línea base de autenticidad de una sola señal atrapa 0 de 35. La compuerta multi-señal atrapa 35 de 35. Esa brecha es el titular honesto, porque mide lo que el enfoque incumbente no puede hacer en lugar de adular lo que mi conjunto construido hace fácil.

Sé la diferencia entre un número impresionante y uno durable. La afirmación durable es la forma de la brecha, no el tamaño del porcentaje.

La spoliation ahora es una fila roja en pantalla

No esperaba que la pieza de cadena de custodia se convirtiera en la parte en la que los compradores se apoyan, pero lo hizo, y entiendo por qué una vez que la vi fallar a propósito. Cada decisión vincula el SHA-256 de la imagen original a un libro mayor append-only encadenado por hash. El paso verify-chain recalcula cada eslabón y vuelve a hashear cada original que sigue en disco. Si una «mejora» GenAI o un upscale sobrescribe la imagen original de la reclamación, la aseguradora queda de pronto expuesta a spoliation, la destrucción de pruebas, en cualquier litigio que siga.

Hice clic en «manipular el original seleccionado», ejecuté verify, y una fila se puso roja: Alterada, spoliation detectada. Ese es todo el valor hecho literal. La cadena de custodia deja de ser una frase en una presentación de cumplimiento y se convierte en un estado en pantalla que un pipeline automatizado puede hacer cumplir y un abogado puede leer. El original nunca se muta en operación normal, solo artefactos sidecar, así que el día que alguien sí lo edita, el registro ya lo sabe.

Lo que aún no sé

No creo que esta compuerta esté terminada, y la capacidad de la que menos seguro estoy es también una de las que más me enorgullece: la ruta de abstención. Cuando una reclamación es genuinamente ambigua, baja resolución, metadatos parciales, nada concluyente en ningún sentido, el CLM-D-1045 de la demo se enruta a ABSTAIN y luego a HUMAN-REVIEW en lugar de forzar un veredicto. Se abstiene en lugar de fingir un aprobado o una acusación, y el Challenger adversarial existe precisamente para que un reclamante legítimo no sea lanzado a SIU por una señal delgada. En el conjunto sintético esa disciplina es lo que mantiene la falsa acusación en 0%. En el mundo real aún no sé dónde debería situarse el umbral de abstención, y fingir que lo sé sería su propio tipo de fraude.

Hay mucho que he dejado deliberadamente en stub. Los conectores de Guidewire ClaimCenter y Duck Creek, el SDK móvil de captura guiada, un verificador C2PA real y una base de datos real de huellas de cámara PRNU están todos aplazados. La puntuación de severidad Tractable o CCC de la propia aseguradora se acepta como un campo de entrada, no se calcula aquí, porque esta compuerta corre antes de la evaluación de daños y autentica lo que esos sistemas pasan a evaluar. No los reemplaza, y no afirmaría que lo hace.

Las cuatro reclamaciones escenificadas están todas ahí en la demo si quieres pasarlas por el pipeline y leer los recibos tú mismo. Lo que quiero que te lleves no es la demo, sin embargo. Es la pregunta que reorganizó mi propio pensamiento aquella tarde en Raleigh, mirando una foto real que mi mejor detector acababa de aprobar.

Y si prefieres verlo a leerme describirlo, aquí está toda la compuerta corriendo de extremo a extremo.

Así que aquí está la que sigo planteando a los líderes de reclamaciones y de SIU: si el fraude de imagen más caro al que te enfrentas es una foto genuina por la que ya has pagado una reclamación una vez, ¿qué está detectando realmente tu detector?