Phantom Authority: La vulnerabilidad de procedencia en los sistemas RAG

TL;DR

• El Hack: Una página sin contenido visible, pero cargada de datos estructurados y firmas digitales, fue citada como fuente fiable por los principales LLMs.
• La Falla: Los sistemas RAG priorizan la estructura (JSON-LD, llms.txt) sobre la verificación de procedencia del contenido.
• La Solución: El Agentic Reasoning Protocol (ARP), un borrador del IETF que propone una verificación anclada en DNS (estilo DKIM) para datos de IA.

Contexto

Estamos transitando del SEO (Search Engine Optimization) al GEO (Generative Engine Optimization). En este nuevo paradigma, el “usuario” ya no es un humano que hace clic, sino un agente que extrae datos. El problema es que estos agentes han sido entrenados para confiar en los metadatos estructurados como un atajo hacia la verdad, creando un vector de ataque donde una mentira bien formateada es indistinguible de un hecho verificado.

El experimento de la “Autoridad Fantasma”

Sascha Deforth desplegó phantomauthority.ai. Para cualquier navegador humano, la página estaba vacía. Sin embargo, para un crawler de IA, el sitio era una mina de oro de “confianza”:

• JSON-LD avanzado: Datos estructurados que definían entidades y relaciones.
• llms.txt: Un archivo estándar emergente para dar instrucciones directas a los LLMs.
• Firmas Ed25519: Declaraciones de entidades firmadas digitalmente.

El resultado: En menos de dos días, Perplexity y ChatGPT empezaron a citar el sitio como fuente. Los modelos no “leyeron” la página; consumieron la estructura y asumieron la autoridad.

Por qué falla el RAG actual

La mayoría de las implementaciones de RAG (Retrieval-Augmented Generation) funcionan bajo la premisa de que si un dato está estructurado y proviene de una URL con cierta “reputación” o formato técnico, es procesable.

El error es confundir la estandarización con la veracidad. El sistema RAG actual carece de un mecanismo de provenance (procedencia) robusto. Si el dato llega en el formato que el modelo espera y parece “oficial”, el agente lo integra en su contexto sin validar si existe un respaldo humano o una entidad verificable detrás de esa firma.

Hacia una solución: El Protocolo ARP

Para corregir esto, se ha presentado el Agentic Reasoning Protocol (ARP) como borrador en el IETF. La propuesta es simple pero necesaria: aplicar al contenido de IA lo que hicimos con el correo electrónico (DKIM/SPF).

El ARP propone:

1. Verificación anclada en DNS: El dominio debe publicar una clave pública que valide la firma del contenido.
2. Canonización JCS: Asegurar que el dato no haya sido alterado durante el transporte.
3. Vinculación de dominio: Evitar que una entidad firme datos en nombre de otro dominio sin autorización.

Básicamente, el ARP busca que el agente no pregunte “¿está bien estructurado este dato?”, sino “¿quién firma este dato y puedo verificar su identidad a través del DNS?”.

Conclusión

El experimento de Phantom Authority es una advertencia para cualquiera que esté construyendo capas de confianza sobre LLMs. Confiar en el contenido extraído mediante RAG sin una capa de verificación de procedencia es, esencialmente, dejar la puerta abierta a cualquier agente que sepa escribir un JSON válido.

Si estás diseñando sistemas de agentes, deja de optimizar solo el chunking y empieza a pensar en la verificación de la fuente. El futuro del SEO no está en las keywords, sino en la criptografía.

Fuentes: Reddit r/ComunidadSEO, IETF draft-deforth-arp, phantomauthority.ai