Una puntuación de riesgo privada puede proteger sin delatar contactos

Un único encuentro puede delatar lo que la app de rastreo oculta

Una aplicación de rastreo de contactos puede ocultar quién se cruzó con quién, pero sigue revelando algo sobre un desconocido. El número que ve cada usuario es una estimación del riesgo de infección, a menudo etiquetado como COVIDSCORE. Su función es indicar qué tan probable es que la persona esté infectada en ese momento. Sin embargo, ese resumen útil abre también un canal lateral para el atacante. Este puede instalar la aplicación y organizar un encuentro con su objetivo. Si esa es su única interacción del día, cualquier variación en su propia puntuación apunta directamente a él. La cifra se mueve porque la app ha combinado información de las personas con quien se cruzó recientemente. Al no haber otros contactos que expliquen el cambio, el atacante puede deducir si el objetivo representaba un riesgo o estaba infectado. La fuga proviene del propio número publicado, no de una lista de contactos comprometida. Este ataque funciona incluso cuando están activas las salvaguardas estándar para detectar contactos. El mismo problema aparece en muchos sistemas que publican puntuaciones numéricas de riesgo sin protección de privacidad. Un solo encuentro basta para convertir el panel del usuario en un sensor al servicio de otro. El atacante no necesita ver los datos del teléfono del objetivo ni romper el emparejamiento seguro. Solo observa su propia puntuación antes y después del encuentro. Esto deja al descubierto una decisión de diseño difícil para los creadores de la app: una puntuación que ayude a decidir si hay que hacerse una prueba debe ser, al mismo tiempo, imposible de revertir a partir de un único evento de contacto. Si resulta fácil leer el riesgo de un desconocido tras un solo encuentro, la aplicación puede estar exponiendo información sanitaria mientras aparenta privacidad.

Por qué el ruido añadido a cada alerta reduce la utilidad de la aplicación

Una aplicación de contactos solo sirve si sus alertas reflejan el peligro real. Si se añade ruido aleatorio a cada puntuación de riesgo publicada, ese vínculo se debilita: un usuario podría ver una cifra alta tras un día tranquilo o una baja después de uno arriesgado. La alerta mantiene su apariencia oficial, pero ya no apunta con nitidez a la exposición.

El coste se nota en el control de los brotes. En simulaciones con pruebas imperfectas, añadir ruido de privacidad a un nivel habitual elevó la tasa máxima de infección de unos 0,5 por cada 1 000 personas a unos 1,1 por cada 1 000. No es un colapso, pero sí una pérdida real de precisión. La aplicación sigue detectando a algunos usuarios en riesgo alto, aunque también emite más falsas alarmas y pasa por alto más riesgos reales. Cuando la capacidad de pruebas es limitada, esos errores importan porque cada prueba desperdiciada deja a otra persona sin testear.

El problema más profundo es dónde entra el ruido. Si se ruidifica cada mensaje de contacto por separado antes de que la aplicación los combine, toda la evidencia llega borrosa. Una probabilidad entre 0 y 1 puede subir o bajar al azar, de modo que la puntuación final hereda mucha inestabilidad. Quienes tienen muchos contactos disponen de más señal sobre la que trabajar, pero la distorsión independiente sigue oscureciendo el panorama. El resultado es una aplicación que protege la privacidad mientras hace su propio consejo menos fiable.

Un agregado diario que oculta los contactos sin restar eficacia a las alertas

El sistema no emite una alerta separada por cada encuentro. En su lugar, los contactos de un día se agrupan en un único valor diario. Este es el dato que se protege antes de calcular cualquier puntuación de riesgo. La protección consiste en multiplicar ese total diario por ruido aleatorio, en vez de difuminar individualmente cada mensaje de contacto. Así, la alerta sigue reflejando la exposición global, pero resulta difícil extraer información sobre un único contacto. El ruido sigue una distribución log-normal porque debe ser siempre positivo y permitir una demostración clara de privacidad. Quienes tienen muchos contactos necesitan menos ruido adicional para lograr la misma garantía. Quienes tienen pocos, más. Las puntuaciones internas se limitan al rango completo entre cero y uno, lo que mantiene válidos los cálculos posteriores. Tras esta limitación, el total diario con ruido sirve para estimar el riesgo de infección de ese día. Solo la puntuación final sale del cálculo protegido, por lo que los detalles individuales de los contactos no se exponen como mensajes separados. La garantía de privacidad establece que modificar el valor de riesgo limitado de una persona solo puede desplazar ligeramente el total diario con ruido. El peor caso ocurre cuando todos los demás contactos están en sus límites de recorte y solo uno difiere. Como la protección se aplica después de combinar, las alertas permanecen más nítidas de lo que serían si cada mensaje se difuminara por separado. En simulaciones, este agregado diario produjo tasas pico de infección más bajas con un nivel común de privacidad de epsilon igual a uno. El resultado se mantuvo en dos simuladores ampliamente utilizados, incluidas ejecuciones con hasta un millón de personas. Comparado con el rastreo tradicional bajo pruebas realistas, el método redujo las tasas de infección por factores que van de dos a diez.

¿Qué pasa cuando faltan pruebas, fallan o se ignoran?

Cuando la capacidad de pruebas es escasa, las diferencias entre los métodos de rastreo se vuelven evidentes e imposibles de ignorar. En una simulación basada en el modelo británico, solo al diez por ciento de la población se le solicitó someterse a una prueba cada día. Una variante para ciudades estadounidenses empleó un presupuesto aún más restrictivo: apenas un dos por ciento de pruebas diarias. Estas limitaciones son cruciales porque un resultado positivo desencadena diez días de aislamiento. Si se examina a demasiadas pocas personas, la aplicación no logra detectar suficientes casos como para interrumpir las cadenas de contagio. El análisis de costes demostró que la capacidad de pruebas establece el techo del control epidemiológico. Para mantener la tasa máxima de infección por debajo del 0,3 %, el rastreo tradicional requería unas diez mil pruebas diarias. El método privado alcanzaba ese mismo nivel de eficacia con apenas unas quinientas. Esta brecha indica que incluso un sistema de pruebas limitado puede orientarse hacia picos más bajos.

Las pruebas no son perfectas. Las simulaciones incluyeron falsos positivos y falsos negativos. En el escenario por defecto, la tasa de falsos positivos era del 1 % y la de falsos negativos, del 0,1 %. Una prueba de estrés elevó estos errores a los valores peores citados por las directrices europeas: un veinticinco por ciento de falsos positivos y un tres por ciento de falsos negativos. Con pruebas tan deficientes, la puntuación privada resultó menos robusta que una versión sin protección. Bajo el escenario estándar con pruebas imperfectas, la tasa máxima de infección pasó de unos 0,5 a unos 1,1 por cada 1 000 personas. En el peor caso, con pruebas muy ruidosas, el método con ruido alcanzó un pico cercano a los 46,6 por cada 1 000, mientras que la versión sin protección se mantuvo cerca de los 0,6 en esas mismas condiciones adversas.

Aumentar las pruebas ayudó: elevar los controles diarios del diez al quince por ciento restauró en gran medida el rendimiento. Los resultados principales asumían que quienes daban positivo se aislarían durante diez días. Un experimento posterior permitió a los usuarios ignorar un resultado positivo y seguir mezclándose con la población. Incluso cuando hasta un setenta y cinco por ciento de los positivos no cumplía con el seguimiento, el método privado seguía superando al rastreo tradicional. Si como máximo un veinte por ciento ignoraba una prueba positiva, la tasa máxima de infección se mantenía por debajo del medio punto porcentual. Esta resiliencia es importante porque el rastreo real depende de que las personas actúen tras recibir una alerta. Un pico más bajo también alivia la presión sobre los hospitales y reduce la probabilidad de que los gobiernos impongan confinamientos.

Los supuestos que evitan que la puntuación privada se convierta en una herramienta de vigilancia

Un número privado de riesgo solo lo es si se restringe quién tiene acceso a él. El cálculo emplea únicamente los contactos y los resultados de las pruebas. No utiliza el historial de ubicación, datos de identidad ni registros sanitarios. Se ejecuta en un entorno cifrado o de computación confiable, de modo que ningún servidor central recopila la puntuación de una persona con el paso del tiempo. Se da por seguro que la detección de contactos es fiable: la aplicación ya sabe quién se reunió con quién, pero ese conocimiento se toma como un hecho dado y no se explora para extraer inferencias adicionales.

La garantía de privacidad también es limitada. Protege la puntuación diaria publicada frente a la revelación del estado de una persona en un paso concreto. Si dos personas vuelven a encontrarse repetidamente, las pequeñas fugas pueden acumularse, y el diseño no emplea aún reglas más estrictas para acotar esa pérdida recurrente. Esta limitación es crucial porque la vigilancia suele nacer de la repetición: una mirada puede ser inofensiva, pero muchas miradas construyen un mapa.

El sistema olvida rápido. Los datos se conservan solo durante 14 días y luego se eliminan. El método es sin estado en el sentido de que no almacena un historial sanitario personal largo ni un registro de contactos. Una vez que los contactos salen de la ventana, ya no afectan a la puntuación del día siguiente. Extender la memoria más allá de dos semanas aporta poco beneficio, por lo que la ventana corta ayuda a evitar que la herramienta se convierta en un expediente permanente.

Sin embargo, estos supuestos dejan huecos reales. No todo el mundo tiene un teléfono inteligente, y el acceso desigual puede crear una protección desigual. Si solo algunas personas usan la aplicación, muchos contactos se vuelven invisibles, lo que debilita tanto el rastreo como la equidad en la privacidad. Los sesgos existentes sobre quién se somete a pruebas o cómo se estiman los riesgos pueden amplificarse por el ruido añadido para proteger a las personas. Hasta que esos problemas sean estudiados, la puntuación privada sigue siendo un instrumento cuidadosamente acotado y no una herramienta de salud pública terminada.

Cómo un valor diario con ruido protege cada encuentro y sigue guiando las pruebas

Una aplicación de rastreo de contactos puede proteger cada encuentro por separado sin dejar de servir a la salud pública. La protección se integra antes de que aparezca la puntuación final de riesgo. Así, la señal combinada de cada día incluye suficiente ruido para ocultar si un único contacto conocido ha alterado el resultado. Este diseño permite mantener un control eficaz de la epidemia mientras limita lo que un desconocido persistente podría deducir de una sola interacción.

La lección general es que privacidad y utilidad pueden diseñarse conjuntamente cuando el modelo de amenazas está claro. Una puntuación numérica resulta poderosa porque ordena a quién corresponde someterse a la prueba siguiente, pero se vuelve peligrosa en cuanto alguien puede observar cómo cambia su propio número tras reunirse con un objetivo. Añadir ruido calibrado a las señales diarias de contactos conserva suficiente información para tomar decisiones sobre pruebas, al tiempo que hace poco fiable cualquier inferencia de ese tipo.

Las simulaciones indican que este equilibrio puede reducir las infecciones y emplear muchas menos pruebas que el rastreo ordinario, incluso si se ignoran algunos resultados positivos o los tests cometen errores. Los obstáculos siguen siendo graves. Los resultados principales asumen una adopción total, pero las poblaciones reales incluyen personas sin teléfonos inteligentes, usuarios desconfiados de las aplicaciones y grupos cuyos contactos quedan fuera de la red. Los encuentros repetidos con la misma persona pueden estirar la garantía de privacidad más allá de un único evento de contacto, y los datos sesgados podrían amplificarse en lugar de corregirse por el ruido.

La pregunta práctica es cuántas personas pueden unirse a la red, ya que la protección depende de que los contactos sean visibles. Una puntuación que funciona en una ciudad o ecosistema de aplicaciones debe resistir también la ausencia de dispositivos, la confianza desigual y los encuentros repetidos antes de poder guiar decisiones reales de pruebas.