noRecognition: 31 millones de pruebas para patrón que engaña cámaras AI

El investigador que ejecutó 31 millones de pruebas para crear un patrón que hace invisible a las cámaras de vigilancia

Bill Swearingen pasó el último año ejecutando esencialmente la misma prueba una y otra vez, con un objetivo claro: generar un patrón de diseño que, aplicado a ropa y objetos, impidiera que las cámaras de vigilancia y lectores de matrículas más comunes detectaran lo que hay debajo. Después de 31 millones de pruebas, lo logró. El proyecto se llama noRecognition y produce patrones bajo demanda que anulan la detección automática en algunos de los sistemas de vigilancia más extendidos en Estados Unidos, según reportó TechCrunch el 9 de agosto de 2026.

Lo que comenzó como un experimento de laboratorio se convirtió en una demostración pública exitosa en la conferencia de ciberseguridad Def Con 34 en Las Vegas, donde Swearingen cubrió un Toyota Yaris 2009 con su patrón adversarial y lo hizo pasar frente a una cámara Flock, uno de los sistemas de lectura de matrículas más desplegados en el país. El resultado: el vehículo evitó completamente la detección automatizada del sistema.

¿Cómo funciona noRecognition? El poder de los ataques adversariales

El punto de partida técnico son los ataques adversariales a redes neuronales, una familia de técnicas que explotan el hecho de que los sistemas de visión por computadora aprenden a clasificar objetos buscando patrones de píxeles específicos. Al introducir un patrón optimizado para activar esas mismas neuronas en la dirección equivocada, la red se confunde o simplemente no detecta lo que ve.

Swearingen, fundador de la comunidad de ciberseguridad SecKC en Kansas City, desarrolló noRecognition como un sistema que utiliza aprendizaje por refuerzo para entrenarse contra modelos de visión por computadora en producción. El sistema ejecuta patrones contra detectores de personas y lectores de matrículas desplegados en "decenas de miles de calles estadounidenses", según TechCrunch.

Durante el último año, el sistema ejecutó aproximadamente 31 millones de iteraciones de prueba para descubrir patrones que explotan puntos ciegos en algoritmos de detección comunes. Según Swearingen, el modelo ahora puede producir patrones bajo demanda que derrotan 11 modelos diferentes de visión por computadora en producción, incluyendo los que alimentan los lectores de matrículas Flock, las cámaras corporales Axon y el reconocimiento facial de Clearview AI.

Crucialmente, los patrones no bloquean que las cámaras graben video. En cambio, revuelven el análisis automatizado para que el sistema no pueda identificar personas, rostros, vehículos o matrículas, lo que significa que no se activan alertas. La plataforma noRecognition puntúa cada patrón contra múltiples modelos y mantiene cámaras de prueba separadas para validación controlada.

El contexto: vigilancia algorítmica en espacios públicos

Para entender por qué este proyecto existe y por qué está generando interés, hay que leer el estado actual de la vigilancia en Estados Unidos. Los lectores automáticos de matrículas están instalados en miles de intersecciones, estacionamientos y autopistas, registrando los movimientos de vehículos con una granularidad que, hace dos décadas, habría requerido docenas de agentes humanos. Los sistemas de reconocimiento facial han migrado de aeropuertos a estadios, conciertos y tiendas.

En Europa, el reconocimiento facial está regulado con restricciones estrictas de la Ley de IA: la vigilancia en tiempo real en espacios públicos está prohibida excepto para excepciones muy definidas para terrorismo o delitos graves. En Estados Unidos, la situación regulatoria está fragmentada: algunos estados tienen restricciones, pero no existe un marco federal equivalente.

Rachele Didero, fundadora de la marca italiana de ropa adversarial Cap_able, resumió mejor que nadie esta asimetría: en el mundo digital, puedes elegir aceptar o rechazar cookies. En el mundo físico, no tienes esa opción. Los ciudadanos no tienen mecanismo para "optar por no participar" en ser grabados por sistemas que no controlan.

Limitaciones técnicas y desafíos del enfoque adversarial

Swearingen es honesto sobre lo que noRecognition no hace. El patrón interfiere con la detección automática pero no hace que una persona desaparezca ante los ojos humanos ni ante sistemas de cámaras que no utilicen detección por red neuronal. Un guardia de seguridad viendo la pantalla aún te ve.

Los patrones adversariales también tienden a ser frágiles frente a cambios en el sistema: lo que engaña a un modelo de detección puede no funcionar contra otro, especialmente si el fabricante actualiza el software de reconocimiento. Esto crea una dinámica de carrera armamentística: un patrón efectivo hoy puede dejar de serlo la próxima vez que el proveedor actualice el modelo.

Las limitaciones técnicas son significativas:

• Los patrones pueden ser específicos para ciertos modelos de cámara o algoritmos de detección y no transferirse a otros sistemas
• La efectividad depende de la calidad de impresión, condiciones de iluminación, ángulos de visión y deformación física de la tela (por ejemplo, arrugas en la ropa)
• Los patrones adversariales representan una carrera armamentística: una vez que los proveedores de vigilancia entrenan contra patrones conocidos, esos diseños específicos pueden dejar de funcionar

Swearingen intenta mitigar esto generando patrones únicos y reservados por usuario que nunca se lanzan públicamente.

La dimensión política del proyecto y el debate sobre privacidad

noRecognition existe en un momento específico: los sistemas de vigilancia se han desplegado mucho más rápido que el debate público sobre sus límites. La investigación académica sobre ataques adversariales se ha publicado en conferencias científicas durante años, pero la implementación práctica y accesible para el usuario no especialista es nueva.

Proyectos como este contribuyen al debate de tres maneras distintas. Técnicamente, prueban que los sistemas de detección tienen vulnerabilidades estructurales, no errores, sino propiedades inherentes de cómo funcionan las redes neuronales. Políticamente, demuestran que la vigilancia algorítmica no es un sistema insuperable que los ciudadanos deben simplemente aceptar. Y conceptualmente, plantean la pregunta de si el derecho a no ser identificado automáticamente en espacios públicos debería ser un derecho protegido.

La pregunta en 12 meses no es si los patrones adversariales se convierten en un producto comercial —la ropa adversarial de varias marcas ya existe— sino si algún regulador estadounidense comienza a usar la existencia de estas vulnerabilidades como argumento para establecer límites en el despliegue de vigilancia algorítmica en espacios públicos.

¿Qué significa esto para tu startup? Implicaciones prácticas para emprendedores

La investigación de Swearingen tiene implicaciones concretas más allá del activismo por la privacidad. Para founders en el espacio de tecnología, seguridad y visión artificial, este desarrollo representa tanto una advertencia como una oportunidad.

1. Las vulnerabilidades adversariales son reales y escalables Si tu startup desarrolla sistemas de visión por computadora, detección de objetos o reconocimiento facial, debes considerar los ataques adversariales desde el día uno. Lo que Swearingen demostró con 31 millones de iteraciones es que estos ataques no son teóricos: son explotables a escala. Invertir en robustez adversarial no es un lujo, es una necesidad competitiva.

2. El mercado de privacidad está madurando La ropa adversarial ya existe como nicho, pero la validación técnica de noRecognition podría impulsar la categoría hacia el mainstream. Según The Guardian, marcas como Cap_able ya ofrecen prendas diseñadas para confundir sistemas de reconocimiento facial. Para emprendedores, esto señala una demanda creciente de soluciones que permitan a los usuarios controlar su huella digital en el mundo físico.

3. La regulación está en camino, y los precedentes importan El proyecto noRecognition llega cuando la Unión Europea ya tiene su Ley de IA que restringe el reconocimiento facial en espacios públicos, y varios estados de EE.UU. debaten legislación similar. Las startups que trabajan con tecnologías de vigilancia deben anticipar que la presión regulatoria aumentará, y que herramientas como estas serán usadas como argumento para limitar ciertas aplicaciones.

4. La verificación independiente es crítica Aunque la demostración en Def Con fue exitosa, los críticos señalan que la prueba real sigue siendo limitada. Para cualquier startup que desarrolle tecnología similar, la transparencia y la validación por terceros serán esenciales para ganar credibilidad. Swearingen mantiene sus patrones más fuertes fuera de internet para evitar que los fabricantes de cámaras los derroten, pero esto también limita la verificación independiente.

Acciones concretas que puedes tomar hoy

Para founders en visión artificial:

• Incorpora pruebas adversariales en tu pipeline de desarrollo desde el inicio
• Considera la diversificación de modelos como estrategia de defensa (no confíes en un solo algoritmo)
• Documenta las limitaciones de tu sistema de manera transparente para clientes y reguladores

Para emprendedores en privacidad y seguridad:

• Explora modelos de negocio alrededor de la "privacidad física" — no solo digital
• Considera asociaciones con marcas de moda o accesorios para productos anti-reconocimiento
• Investiga las regulaciones locales sobre vigilancia antes de lanzar productos en nuevos mercados

Para todos los founders:

• Mantente informado sobre el desarrollo regulatorio en vigilancia algorítmica
• Evalúa cómo las vulnerabilidades adversariales podrían afectar tu propuesta de valor si dependes de visión por computadora
• Considera el equilibrio entre innovación y responsabilidad ética en tecnologías con impacto social directo

El futuro de la privacidad en la era de la vigilancia omnipresente

La investigación de Bill Swearingen representa un hito en la democratización de las contramedidas técnicas contra la vigilancia masiva. Con 31 millones de pruebas y una demostración pública exitosa, ha llevado los ataques adversariales del laboratorio académico a la calle.

Para el ecosistema emprendedor, el mensaje es claro: la tecnología que hoy permite identificar vehículos y rostros en tiempo real tiene puntos débiles explotables. Y esos puntos débiles pronto podrían estar disponibles como productos de consumo.

La carrera armamentística entre vigilancia y privacidad acaba de entrar en una nueva fase, y los fundadores que entiendan ambas caras de esta moneda tendrán ventaja competitiva en los próximos años.

Fuentes

• Patrón adversarial para cámaras de vigilancia: noRecognition
• This 'adversarial' pattern can prevent surveillance cameras from detecting you
• Inside noRecognition: The Anti-Surveillance Algorithm That Fools AI Cameras