La ropa anti-IA de UNLABELED no puede confundir todas las cámaras de seguridad

UNLABELED ha llegado a Google News con una promesa llamativa: ropa que dificulta que una cámara de seguridad con IA detecte a quien la lleva. El proyecto textil japonés convierte el aprendizaje automático adversarial en camisetas, sudaderas y una declaración interactiva sobre la vigilancia automatizada. Sin embargo, la ropa se dirige a un modelo de detección específico, no a todas las cámaras que observan la calle.

Esa salvedad cambia la historia. UNLABELED no vende una capa de invisibilidad universal, pese al atractivo visual de esa descripción. Sus patrones intentan reducir la confianza del software que decide si una imagen contiene a una persona. Otras cámaras, modelos, ángulos de visión y sensores aún pueden detectar a la persona.

Por tanto, la tensión va más allá de una colección de moda. Los investigadores siguen creando prendas más eficaces mientras los operadores de cámaras adoptan modelos más recientes, sensores térmicos, sistemas de seguimiento y entrenamiento defensivo. El resultado es una contienda especialmente visible entre la resistencia individual y unos sistemas de vigilancia diseñados para adaptarse.

Lo que UNLABELED realmente cambió

UNLABELED ha llevado la ropa adversarial de una demostración de investigación a una colección pública de moda, pero sus pruebas publicadas siguen estando definidas de forma limitada.

UNLABELED se describe como un colectivo artístico y una marca textil que desarrolla camuflaje para una sociedad de capitalismo de vigilancia. El proyecto enumera a los investigadores Makoto Amano, Yuka Sai, Ryosuke Nakajima y Hanako Hirata como colaboradores. Sus raíces institucionales incluyen Qosmo, Dentsu Lab Tokyo y el Computational Creativity Lab de Keio University.

El grupo desarrolló por primera vez camuflaje orientado a máquinas en 2020. Más tarde colaboró con la marca japonesa de ropa NEXUSVII, también conocida como NX7, para convertir esos patrones en productos. Su colección más reciente conecta ese trabajo con la película animada de 1995 Ghost in the Shell.

Esa combinación es más que un ejercicio de licencias. Ghost in the Shell lleva décadas examinando la identidad, la corporalidad, las redes y la vigilancia estatal. UNLABELED utilizó imágenes fijas de la película como material de origen para patrones diseñados para interferir con la percepción de las máquinas.

La colección apareció en la exposición Ghost and the Shell de Tokyo Node. La exposición se celebró del 30 de enero al 5 de abril de 2026. La línea de ropa incluía cinco patrones de camuflaje aplicados a camisetas, camisetas de manga larga y sudaderas.

La descripción general oficial de la colección indica que las prendas utilizan aprendizaje automático adversarial. Este campo estudia entradas diseñadas deliberadamente para provocar errores en sistemas de aprendizaje automático. En este caso, la entrada es un textil estampado visto a través de una cámara.

UNLABELED denomina a su método un parche adversarial. El patrón no desactiva físicamente una cámara ni borra el vídeo subyacente. En su lugar, intenta manipular el detector de objetos que analiza cada fotograma.

Un detector de objetos encuentra y etiqueta objetos dentro de una imagen. Cuando identifica a un peatón, normalmente dibuja un recuadro delimitador alrededor de esa persona y le asigna una puntuación de confianza. El software posterior puede utilizar ese resultado para contar personas, activar alertas o iniciar otro proceso de reconocimiento.

La prenda busca reducir esa puntuación inicial de “persona”. Si la puntuación cae por debajo del umbral configurado del sistema, el detector podría omitir el recuadro delimitador. Sin embargo, para una persona que observa el vídeo original, quien lleva la prenda sigue siendo visible.

Esta distinción importa porque la cobertura mediática a menudo comprime varias tecnologías en la expresión “cámara con IA”. La detección de personas, el reconocimiento facial, la reidentificación de personas, el análisis de comportamiento y el reconocimiento de matrículas son tareas distintas. Vencer una no vence automáticamente a las demás.

La página de experimentos publicada por UNLABELED identifica a YOLOv2 como su detector de objetos objetivo. YOLO significa “You Only Look Once”, una familia de modelos que predice objetos y sus ubicaciones en una sola pasada de procesamiento.

YOLOv2 se presentó años antes de esta colección de 2026. Sigue siendo útil como objetivo de investigación y plataforma de demostración, pero no representa todos los modelos desplegados en productos de seguridad modernos.

La página enumera cinco experimentos realizados durante diciembre de 2025. Sus puntuaciones mostradas de reconocimiento de objetos oscilan entre el 72,18% y el 78,79%. UNLABELED afirma que llevar los diseños resultantes reduce el reconocimiento como persona, pero la página no proporciona una evaluación comparativa independiente completa.

No publica una puntuación de control para escenas idénticas sin la prenda estampada. Tampoco muestra pruebas en múltiples productos comerciales de cámaras, familias recientes de detectores, condiciones de iluminación, configuraciones de compresión o entornos concurridos.

El proyecto sigue siendo significativo. Ofrece a la gente una forma tangible de ver que la percepción de las máquinas no es ni neutral ni infalible. La prenda se convierte a la vez en una entrada de prueba y en un objeto político.

Lo que cambió no es que las cámaras se hayan vuelto de repente fáciles de derrotar. UNLABELED hizo que un problema poco conocido de seguridad de modelos fuera llevable, comercializable y culturalmente comprensible. La atención de Google News amplió esa conversación mucho más allá de un laboratorio de visión por computadora.

Por qué la atención de Google News eleva lo que está en juego

Las prendas presionan a los proveedores de vigilancia porque exponen una debilidad que los usuarios comunes pueden ver sin leer un artículo sobre aprendizaje automático.

La visión por computadora ha pasado de registrar escenas a interpretarlas. Una cámara convencional almacena imágenes para revisarlas posteriormente. Un sistema asistido por IA puede señalar personas, buscar imágenes, estimar el tráfico y conectar observaciones a lo largo del tiempo.

Esa transición da consecuencias operativas a los errores de detección. Una persona no detectada puede socavar una alerta de seguridad. Una detección falsa puede desperdiciar el tiempo de un operador o generar una intervención injustificada. Ambos resultados cuestionan las afirmaciones de que la automatización hace que la supervisión sea sistemáticamente más fiable.

La ropa adversarial dirigida al público convierte esa cuestión de fiabilidad en una demostración en vivo. Una persona puede situarse ante una instalación y observar cómo un recuadro de detección se debilita o desaparece. La incertidumbre del modelo se hace visible en tiempo real.

Esta visibilidad presiona a los proveedores de cámaras, integradores de sistemas y compradores empresariales. Los proveedores deben decidir si tratan las prendas adversariales como curiosidades poco frecuentes o como amenazas plausibles para la seguridad. Los compradores deben preguntarse si la precisión de las evaluaciones comparativas refleja las condiciones presentes en sus propios edificios.

La presión también alcanza a los reguladores. Los sistemas de vigilancia pueden procesar información identificativa a una escala que los guardias humanos nunca podrían igualar. La Information Commissioner del Reino Unido explica que el reconocimiento facial mide los rasgos faciales para crear una plantilla biométrica.

La ropa actual de UNLABELED no demuestra que venza todo este proceso biométrico. Su objetivo declarado es la etapa anterior de detección de personas. Si un sistema aún capta un rostro nítido, otro componente podría reconocerlo incluso si el detector de objetos tiene dificultades.

A la inversa, un detector de personas que falla puede impedir en ocasiones que una etapa posterior reciba el recorte de imagen esperado. Las canalizaciones de las cámaras difieren, por lo que el efecto depende de su arquitectura. Un producto podría ejecutar análisis facial sobre todo el fotograma o utilizar la detección de movimiento como alternativa.

Por eso “confundirlas todas” es el marco técnico equivocado. Las cámaras de seguridad no comparten un único modelo, un único umbral ni un único sensor. Algunas envían vídeo a un servidor central, mientras que otras ejecutan la detección en la propia cámara.

Las instalaciones modernas también pueden combinar vídeo de luz visible con imágenes infrarrojas. Un parche estampado y colorido optimizado para una cámara RGB podría parecer poco destacable para un detector térmico. Los sensores de movimiento y los operadores humanos pueden aportar redundancia adicional.

Aun así, UNLABELED enfrenta a los proveedores a un hecho incómodo. Un modelo de IA puede ser muy preciso en sus datos de prueba y seguir siendo sensible a entradas cuidadosamente optimizadas. El rendimiento estadístico no garantiza resistencia frente a un adversario activo.

Ese problema se parece a otras contiendas de seguridad. Los filtros de spam mejoran, los remitentes ajustan sus mensajes y los filtros vuelven a mejorar. Los escáneres de malware reciben nuevas firmas después de que los atacantes descubren formas de evadirlos. La ropa adversarial crea un ciclo de retroalimentación similar en el mundo físico.

A diferencia de una imagen digital modificada, una camiseta debe resistir arrugas, movimiento, sombras, lavados, estiramiento de la tela y compresión de la cámara. El patrón puede ocupar solo una pequeña parte del fotograma. Un bolso, un abrigo u otra persona pueden cubrir sus características más importantes.

Estas limitaciones ayudan a los defensores. También ofrecen a los investigadores una prueba más clara de si un ataque funciona fuera de una simulación informática controlada.

El enfoque de Google News da alcance al proyecto, pero también invita a exageraciones. Los lectores pueden confundir fácilmente un ataque exitoso contra YOLOv2 con inmunidad frente al reconocimiento facial, la identificación policial o las pruebas grabadas. Ninguna de esas conclusiones se deriva de los resultados disponibles.

La importancia más profunda está en otro lugar. Una prenda de consumo plantea ahora una pregunta de seguridad a los compradores empresariales: ¿qué ocurre cuando la persona frente a la cámara sabe cómo ve su software?

Esa pregunta exige una respuesta. Los proveedores pueden reentrenar detectores con patrones conocidos, combinar varios modelos o añadir detección de anomalías. Los operadores pueden reducir los umbrales, aunque hacerlo supone el riesgo de generar más falsas alarmas.

También pueden tratar las detecciones ausentes como una señal en lugar de una respuesta definitiva. Un sistema podría comparar la detección de objetos con el movimiento, la profundidad, el calor y los cambios de escena. Estas capas dificultan la evasión, pero aumentan el coste y la recopilación de datos.

Los defensores de la privacidad afrontan su propia disyuntiva. Unas defensas mejores contra la ropa adversarial pueden crear una vigilancia más persistente. Un detector entrenado para ignorar la variación en la ropa podría seguir a las personas con más fiabilidad en distintos entornos, incluidas aquellas que nunca intentaron evadirlo.

Por tanto, UNLABELED presiona a ambas partes. Los proveedores de vigilancia deben admitir que la visión automatizada tiene una superficie de ataque. Los defensores de la privacidad deben considerar si exponer esa debilidad acaba fomentando sistemas más intrusivos.

Ropa adversarial frente a vigilancia adaptativa

La contienda principal no es entre ropa y cámaras; es entre un patrón adversarial fijo y sistemas de vigilancia que pueden reentrenarse y diversificarse.

Una prenda adversarial comienza con acceso a un modelo objetivo o a un sustituto cercano. Sus diseñadores optimizan píxeles para que la predicción del modelo se mueva en la dirección deseada. Las transformaciones pueden simular distancia, rotación, iluminación y deformación durante el entrenamiento.

La imagen final debe convertirse después en tela física. La impresión altera los valores de color, mientras que los pliegues modifican las formas. Una cámara introduce desenfoque, diferencias de exposición, ruido del sensor y compresión. Cada cambio amplía la brecha entre la imagen optimizada y lo que recibe el modelo desplegado.

Los primeros ataques a menudo utilizaban un único parche llamativo. La persona debía mantenerlo orientado hacia la cámara. Ese enfoque funcionó como prueba de concepto, pero tuvo dificultades con el movimiento y las vistas laterales.

Un estudio de 2019 sobre camisetas adversariales modeló explícitamente la deformación no rígida causada por un usuario en movimiento. Sus autores informaron una tasa de éxito del ataque del 74% en pruebas digitales y del 57% en pruebas físicas contra YOLOv2.

La diferencia entre ambos entornos resume el problema central. La optimización digital puede controlar cada píxel. Un ataque físico debe enfrentarse al mundo real.

Trabajos posteriores ampliaron este enfoque a una superficie mayor de la prenda. Investigadores de la Universidad de Tsinghua desarrollaron una textura adversarial repetitiva diseñada para seguir siendo útil desde más ángulos de visión. Su artículo de CVPR 2022 describe el fallo de parches aislados cuando las cámaras solo ven segmentos parciales o deformados.

El equipo imprimió su textura en camisetas, faldas y vestidos. Cubrir una mayor cantidad de material daba a la cámara más posibilidades de captar alguna parte eficaz del ataque. También hacía más difícil ocultar el diseño visual ante observadores humanos.

Desde entonces, los investigadores han buscado patrones de apariencia natural. Una prenda atrae atención si su supuesta defensa de privacidad parece una señal de advertencia de colores brillantes. El sigilo ante las personas y la evasión de las máquinas no siempre premian el mismo diseño.

UNLABELED aborda ese problema mediante el arte. Las imágenes de Ghost in the Shell ofrecen una explicación cultural para el patrón inusual. Un transeúnte puede interpretarlo como ropa gráfica, en lugar de como un instrumento técnico.

Sin embargo, los sistemas de vigilancia tienen una ventaja estructural. Una prenda impresa queda fijada tras su fabricación, mientras que un modelo puede recibir una actualización. Cuando los defensores recopilan imágenes del patrón, pueden añadirlas a los datos de entrenamiento.

El entrenamiento adversarial expone un detector a ejemplos de ataques y le enseña a conservar la predicción deseada. Un proveedor también puede construir un modelo independiente que busque parches sospechosos. Ninguna respuesta garantiza una protección completa, pero ambas reducen la vida útil esperada de un diseño público.

La diversidad de modelos crea otro obstáculo. Un patrón optimizado contra YOLOv2 podría transferirse a un detector relacionado, es decir, afectar a un modelo que nunca vio directamente. La transferibilidad es valiosa para los atacantes porque los sistemas desplegados suelen ser desconocidos.

Sin embargo, la transferencia es inconsistente. Diferentes arquitecturas de modelos aprenden distintas características de las imágenes. Una prenda que reduce la puntuación de persona de un modelo podría apenas afectar a otro o incluso facilitar la localización de quien la lleva.

Los umbrales complican aún más el resultado. Un operador de cámara puede aceptar una detección de persona con un 25% de confianza, mientras que otro exige un valor superior. Reducir una puntuación no importa si sigue por encima del umbral local.

El procesamiento temporal también puede recuperar fotogramas perdidos. Una camiseta podría derrotar la detección desde un ángulo en un momento concreto. Un rastreador puede salvar esa brecha mediante observaciones anteriores y posteriores.

El video grabado sigue disponible salvo que la cámara esté obstruida o sus datos se borren. Los revisores humanos pueden inspeccionar los fotogramas después de un incidente. Pueden seguir la ropa, la forma de caminar, los acompañantes, la dirección u otras señales contextuales.

Esto no vuelve inútil el ataque. La vigilancia automatizada depende de la escala. Una persona no puede vigilar continuamente todas las transmisiones, por lo que la detección automatizada fiable sigue siendo importante.

Incluso los fallos intermitentes pueden reducir la calidad de los análisis. Pueden interrumpir conteos, romper trayectorias o retrasar alertas. Por tanto, una prenda evaluada cuidadosamente podría ofrecer una protección limitada frente a despliegues específicos.

La palabra “específicos” soporta la mayor parte del peso. Los compradores deberían exigir pruebas con la cámara, el modelo, la resolución, el sensor, el firmware y las condiciones operativas exactos en cuestión. Quienes la usen no deberían asumir que el éxito en laboratorio se transfiere a una cámara urbana desconocida.

La mayor contribución de UNLABELED es su negativa a ocultar esa contienda tras lenguaje técnico. Coloca la entrada adversarial sobre un cuerpo y sitúa junto a ella la respuesta del modelo. El espectador puede ver tanto la posibilidad como la fragilidad de la resistencia.

El verdadero problema es la brecha de verificación

UNLABELED demuestra un mecanismo creíble, pero su evidencia pública no respalda una afirmación de invisibilidad universal o fiable.

Los materiales publicados del proyecto identifican un modelo y proporcionan varias puntuaciones de reconocimiento. Esa transparencia resulta útil. Muchas afirmaciones comerciales sobre productos de antivigilancia ofrecen incluso menos detalle técnico.

Aun así, una puntuación de reconocimiento por sí sola no puede establecer la eficacia. Los lectores necesitan la puntuación de referencia para la misma persona, pose, distancia y entorno sin la prenda adversarial. También necesitan pruebas repetidas, en lugar de ejemplos seleccionados.

Una evaluación significativa informaría con qué frecuencia el detector no detecta a la persona a lo largo de muchos fotogramas. Distinguiría las ausencias completas de las reducciones temporales de confianza. Identificaría el umbral de decisión empleado por el sistema.

Las pruebas deberían incluir a varias personas y tipos de cuerpo. El ajuste de la prenda cambia cómo se estira y se pliega su patrón. El área útil puede desplazarse cuando alguien camina, se sienta, gira o lleva un objeto.

La iluminación merece un análisis propio. La luz solar intensa, la iluminación interior, las sombras profundas y la captura nocturna alteran los colores que recibe un sensor. La tela mojada puede crear otra apariencia, mientras que los lavados repetidos pueden cambiar el material impreso.

La distancia y la resolución también importan. A larga distancia, el patrón puede reducirse a unos pocos píxeles. A corta distancia, la cámara podría captar el rostro y suficiente estructura corporal como para restaurar una detección.

Un informe sólido probaría modelos modernos más allá de YOLOv2. Incluiría detectores desconocidos durante la generación del patrón, lo que proporciona una medida más fuerte de la transferibilidad. También deberían incluirse sistemas comerciales cuando el acceso legal y las condiciones de prueba lo permitan.

La evaluación también debe separar la detección de personas del reconocimiento facial. El reconocimiento facial identifica o verifica un rostro. La detección de personas simplemente encuentra la categoría de persona dentro de una escena.

Una camiseta puede interferir con las características del torso que utiliza un detector de personas, dejando el rostro sin obstrucciones. El lenguaje de marketing que mezcla estas tareas puede fomentar una peligrosa sensación de seguridad.

La imagen térmica presenta un desafío adicional. Un patrón impreso convencional manipula el color visible, pero no altera necesariamente el calor emitido. Una instalación con doble sensor puede comparar los canales visible e infrarrojo.

Una investigación publicada en CVPR 2026 muestra que los investigadores ya están diseñando soluciones para esa limitación. Un estudio sobre prendas térmicas combinó tintes termocrómicos con una unidad de calentamiento flexible.

La camiseta parece negra antes de la activación. El calentamiento revela patrones destinados a afectar tanto a la detección visible como a la infrarroja. Los investigadores informaron una activación en menos de 50 segundos y una tasa de éxito adversarial superior al 80% en los entornos evaluados.

Esos resultados no validan la ropa de UNLABELED. Muestran la rapidez con la que se expande el objetivo de investigación. Un patrón que aborda un detector visual ahora convive con prendas activas diseñadas para múltiples modos de detección.

La misma cautela se aplica a esos artículos más recientes. Las tasas de éxito reportadas reflejan modelos, conjuntos de datos, umbrales y experimentos definidos. No significan que una prenda funcione contra todas las cámaras de seguridad de doble modo.

Esta brecha de verificación tiene dos consecuencias. En primer lugar, los consumidores deberían considerar la ropa adversarial como tecnología de privacidad experimental, no como equipo de protección. Nunca debería sustituir decisiones operativas más seguras cuando la detección crea un riesgo grave.

En segundo lugar, los proveedores de seguridad no deberían descartar la ropa simplemente porque carezca de fiabilidad universal. Los atacantes rara vez necesitan un método que funcione en todas partes. Puede que solo necesiten un fallo repetible en un sistema conocido.

Los patrones públicos también pueden convertirse en herramientas de diagnóstico. Un operador de edificio podría utilizarlos durante pruebas autorizadas de red team, que simulan ataques para identificar debilidades. Una prueba exitosa puede revelar la dependencia de un único detector o de un único ángulo de visión.

Ese uso defensivo es menos llamativo que la invisibilidad, pero más práctico. Las organizaciones pueden comprobar si sus sistemas fallan de forma segura, conservan las grabaciones originales, avisan al personal humano y resisten la evasión repetida.

El límite ético es importante. Las pruebas deberían realizarse con permiso y dentro de la legislación aplicable. Evadir deliberadamente la supervisión de seguridad puede crear riesgos legales y físicos, independientemente de que la ropa en sí esté restringida.

También existe un riesgo de política pública al convertir la evasión en la única estrategia de privacidad. La carga se desplaza a los individuos, que deben comprar ropa especial y comprender sistemas técnicos cambiantes. Mientras tanto, las instituciones continúan recopilando datos por defecto.

Las protecciones de privacidad funcionan mejor cuando también limitan la recopilación, la retención, el acceso y el uso secundario. La ropa puede expresar resistencia, pero no puede establecer esas reglas de gobernanza.

Los diseños de UNLABELED siguen siendo valiosos precisamente porque revelan este desequilibrio. Quien los lleva debe optimizar su apariencia para un modelo oculto. El operador puede cambiar ese modelo sin previo aviso.

Esa es la verdadera asimetría. Una camiseta pública es inspeccionable, coleccionable y entrenable. El sistema de vigilancia suele ser propietario, distribuido y actualizado de forma remota.

Qué deberían vigilar los lectores de Google News a continuación

La siguiente fase se decidirá mediante pruebas independientes, rendimiento entre modelos y la respuesta de la industria de la vigilancia a los patrones adversariales públicos.

La primera señal es la replicación independiente. Investigadores o grupos de pruebas acreditados deben evaluar las prendas de UNLABELED en condiciones controladas y del mundo real. Deberían revelar las cámaras, versiones de modelos, umbrales, distancias, ángulos y resultados de referencia.

Una replicación exitosa en varios detectores actuales reforzaría la afirmación de que estos diseños proporcionan resistencia práctica. El fracaso fuera de YOLOv2 confirmaría que la colección funciona principalmente como arte e investigación dirigida.

La segunda señal es la transferencia entre modos de detección. Las investigaciones recientes apuntan cada vez más a detectores visibles y térmicos de forma conjunta. Ese cambio reconoce que la vigilancia moderna puede combinar canales en lugar de confiar en una sola imagen RGB.

Una prenda que afecte a varios modelos no vistos y a sensores tanto visibles como térmicos reduciría la ventaja de los defensores. Un diseño que requiera calentamiento activo, orientación precisa o materiales llamativos conservaría la brecha práctica.

La tercera señal es la respuesta de los proveedores. Las empresas de cámaras pueden añadir ejemplos adversariales al entrenamiento, detectar estructuras de parches conocidas, fusionar varios sensores o utilizar seguimiento temporal para recuperar fotogramas perdidos. La documentación pública de estas defensas mostraría que la amenaza ha entrado en las pruebas rutinarias de productos.

Las actualizaciones defensivas también debilitarían con el tiempo cualquier prenda fija. UNLABELED podría responder con nuevos patrones, creando un ciclo recurrente similar al de las firmas de malware y las reglas antispam.

Los compradores deberían observar si los proveedores ofrecen evaluaciones de resiliencia adversarial en lugar de afirmaciones generales de precisión. La puntuación media de un modelo en grabaciones normales dice poco sobre su respuesta ante una manipulación deliberada.

Los reguladores deberían observar el mismo ciclo desde otra perspectiva. Un seguimiento más resiliente puede reducir los fallos de seguridad, pero también puede hacer que la vigilancia sea más difícil de evitar para todos. La defensa técnica no resuelve si el despliegue de un sistema es proporcional o legal.

Para los individuos, la conclusión más útil es deliberadamente modesta. La ropa adversarial puede explotar debilidades reales de la visión artificial. No puede garantizar que una cámara, otro modelo, un revisor humano o un sensor distinto no detecten a quien la lleva.

Google News ha llevado la pregunta de UNLABELED a un público más amplio, pero la respuesta no es un simple sí. Estas prendas pueden confundir a determinados detectores en determinadas condiciones. No pueden desorientar a todas las cámaras de seguridad con IA.

El proyecto aún ofrece a los lectores un siguiente paso útil: preguntarse qué modelo está vigilando, qué datos conserva y cómo prueba su operador los fallos. Trate cada afirmación de invisibilidad como una cuestión de evaluación comparativa, no como una promesa de moda. Después, siga de cerca los resultados independientes que revelen si la ropa anti-IA se está convirtiendo en una defensa de la privacidad utilizable o sigue siendo una advertencia convincente impresa en tela.