Bill Swearingen pasó el último año corriendo esencialmente el mismo test, una y otra vez. El objetivo era generar un patrón de diseño que, aplicado a ropa y objetos, impidiera que los lectores de matrículas y las cámaras de vigilancia más comunes detectaran lo que estaba debajo. Tras 31 millones de pruebas, lo consiguió. Lo cuenta TechCrunch este 9 de agosto de 2026.
El proyecto se llama noRecognition y produce patrones bajo demanda que anulan la detección automática en algunas de las cámaras de uso más extendido en EEUU. La historia resume una ironía de los sistemas de vigilancia modernos: la misma capacidad de aprendizaje que los hace más eficaces también los hace atacables con los métodos suficientemente sistemáticos.
Cómo funciona noRecognition
El punto de partida técnico es el ataque adversarial a redes neuronales: una familia de técnicas que explota el hecho de que los sistemas de visión por computador aprenden a clasificar objetos buscando patrones de píxeles específicos. Si introduces un patrón optimizado para activar esas mismas neuronas en la dirección equivocada, la red confunde lo que ve o directamente no lo detecta.
Los trabajos teóricos en este campo datan de 2019 (investigaciones del CVPR que mostraban que parches impresos en papel podían hacer a personas invisibles para detectores de objetos), pero las implementaciones físicas confiables en el mundo real han sido difíciles de lograr por dos razones: los patrones eficaces en un sistema fallan en otro, y la efectividad varía mucho según el ángulo y la iluminación.
El enfoque de Swearingen fue empírico a escala: en lugar de diseñar manualmente el patrón, usó un algoritmo que genera variaciones y las testea contra sistemas reales. Después de 31 millones de iteraciones, el algoritmo encontró patrones que resultan robustos — personas, vehículos, matrículas — frente a algunos de los sistemas de detección más desplegados en las calles estadounidenses. La clave es «bajo demanda»: el sistema genera el patrón específico para el tipo de cámara o detector objetivo.
El contexto: la vigilancia algorítmica en espacio público
Para entender por qué este proyecto existe y por qué genera interés, hay que leer el estado actual de la vigilancia en EEUU. Los lectores de matrícula automatizados están instalados en miles de cruces, aparcamientos y autopistas, registrando el movimiento de vehículos con una granularidad que hace dos décadas habría requerido decenas de agentes humanos. Los sistemas de reconocimiento facial han migrado de aeropuertos a estadios, conciertos y comercios.
El reconocimiento facial en Europa está regulado con restricciones estrictas del AI Act — la vigilancia en tiempo real y en espacios públicos está prohibida salvo excepciones tasadas de terrorismo o delitos graves. En EEUU, la situación regulatoria es fragmentada: algunos estados tienen restricciones, pero no hay marco federal equivalente.
Rachele Didero, fundadora de la marca italiana de ropa adversarial Cap_able, ha resumido la asimetría mejor que nadie: en el mundo digital, puedes decidir aceptar o rechazar cookies. En el mundo físico, no tienes esa opción. Los ciudadanos no tienen mecanismo para «opt-out» de ser registrados por sistemas que no controlan.
Las limitaciones del sistema
Swearingen es honesto sobre lo que noRecognition no hace. El patrón interfiere con la detección automática, pero no hace desaparecer a una persona para los ojos humanos o para sistemas de cámara que no usen detección por redes neuronales. Un vigilante de seguridad mirando la pantalla sigue viéndote.
Los patrones adversariales también tienden a ser frágiles ante cambios de sistema: lo que engaña a un modelo de detección puede no funcionar contra otro, especialmente si el fabricante actualiza el software de reconocimiento. Esto crea una dinámica de carrera armamentística: el patrón efectivo hoy puede dejar de serlo la próxima vez que el proveedor actualice el modelo.
Existe también la cuestión del contexto legal. En algunas jurisdicciones, llevar materiales diseñados deliberadamente para eludir sistemas de identificación podría interpretarse como obstrucción según las circunstancias. noRecognition se presenta como herramienta de privacidad, no de evasión de la ley, pero la línea es difusa cuando el sistema legal aún no ha definido ese territorio claramente.
La expansión del reconocimiento facial a gafas inteligentes añade otra capa al problema. Meta ha estado integrando reconocimiento facial en sus Ray-Ban inteligentes con capacidades que van más allá de las cámaras fijas en infraestructura. Los patrones adversariales pensados para cámaras estáticas son menos eficaces contra sensores en movimiento con ángulos variables.
La dimensión política del proyecto
noRecognition existe en un momento específico: los sistemas de vigilancia se han desplegado mucho más rápido que el debate público sobre sus límites. La investigación académica sobre ataques adversariales lleva años publicada en conferencias científicas, pero la implementación práctica y accesible para el usuario no especializado es nueva.
Proyectos como este contribuyen al debate de tres maneras distintas. Técnicamente, prueban que los sistemas de detección tienen vulnerabilidades estructurales — no errores, sino propiedades inherentes de cómo funcionan las redes neuronales. Políticamente, demuestran que la vigilancia algorítmica no es un sistema infranqueable que los ciudadanos deben simplemente aceptar. Y conceptualmente, abren la pregunta de si el derecho a no ser identificado automáticamente en un espacio público debería ser un derecho protegido.
Apple anticipa estas tensiones en su diseño de gafas inteligentes para 2027, donde las decisiones sobre procesado local de imágenes versus sincronización en nube reflejan exactamente el tipo de compromiso privacidad-funcionalidad que los reguladores aún no han sabido resolver.
Mi valoración
Lo que más me convence del proyecto de Swearingen es el método: 31 millones de iteraciones no son un truco de laboratorio. Es una demostración sistemática de que los sistemas de detección tienen vulnerabilidades explotables por alguien con tiempo y cómputo suficiente. Eso tiene implicaciones prácticas para cualquier institución que base su modelo de seguridad en la «invariabilidad» de la detección automática.
Lo que más me preocupa es la asimetría de escala. noRecognition demuestra el principio, pero un ciudadano individual que quiera proteger su privacidad en espacios públicos tiene que personalizar su ropa. Los actores estatales o corporativos que despliegan los sistemas de vigilancia operan a escala de ciudad. La herramienta de defensa requiere esfuerzo individual; la herramienta de vigilancia se escala sola.
La pregunta a 12 meses no es si los patrones adversariales se convierten en producto comercial — ya existe ropa adversarial de varias marcas —, sino si algún regulador americano empieza a usar la existencia de estas vulnerabilidades como argumento para establecer límites al despliegue de vigilancia algorítmica en espacio público.
Preguntas frecuentes
¿Es legal en España o Europa llevar ropa con patrones adversariales?
No existe actualmente ninguna ley específica en España o en la UE que prohíba llevar ropa o accesorios con patrones diseñados para interferir con sistemas de reconocimiento. Lo que sí está regulado es el uso de los propios sistemas de reconocimiento facial en tiempo real en espacios públicos, que el AI Act restringe con excepciones muy limitadas.
¿Qué tipo de cámaras engañan estos patrones?
Los ataques adversariales son efectivos contra sistemas de detección basados en redes neuronales convolucionales, que son el estándar en los sistemas comerciales de detección de personas, vehículos y matrículas desplegados en EEUU. Los sistemas más modernos con arquitecturas transformer son potencialmente más robustos, pero también son más caros y menos universales en el despliegue actual.
¿Qué es noRecognition específicamente?
noRecognition es el proyecto de Bill Swearingen que permite generar patrones visuales bajo demanda optimizados para interferir con sistemas de detección específicos. A la fecha de este artículo, no es un producto comercial disponible, sino un proyecto de investigación documentado en conferencias de seguridad.
☞ El artículo completo original de Natalia Polo lo puedes ver aquí
