Meta ha lanzado Scam Alert, una función de WhatsApp que clasifica los mensajes entrantes como posibles estafas utilizando un modelo de ML en dispositivo. Ningún contenido de mensaje abandona el dispositivo. La función está en beta limitada antes de un despliegue más amplio a los 3 mil millones de usuarios mensuales activos de WhatsApp, un hito que Meta confirmó en abril de 2025. El resumen técnico publicado junto con el lanzamiento detalla cómo el equipo equilibró inferencia en tiempo real, cifrado de extremo a extremo y defensa regulatoria a escala de consumidor.

La arquitectura implementa privacidad por diseño. La inferencia se ejecuta completamente en el dispositivo móvil—sin calificación en servidor, sin API en la nube, sin retransmisión de mensajes. El modelo se descarga una vez después del consentimiento, luego clasifica localmente los mensajes entrantes de no-contactos haciendo coincidir la estructura conversacional y señales lingüísticas con patrones de reportes de estafas enviados por usuarios. Una clasificación desencadena una advertencia privada en el hilo de chat, invisible para el remitente. El modelo es lo suficientemente pequeño para el hardware de consumidor actual con latencia aceptable y consumo de batería.

La telemetría plantea el problema más difícil. El equipo necesita señal agregada—frecuencia de advertencias, tasas de acción del usuario—para detectar desviación del modelo y adaptarse a patrones de estafas en evolución. Pero extraer esos datos expone una superficie que reguladores y defensores de la privacidad escrutarían cuidadosamente. La solución de Meta: un pipeline de análisis federado confidencial ejecutándose en máquinas virtuales confidenciales (CVMs), un Entorno de Ejecución Confiable. Solo recuentos agregados y anónimos abandonan el dispositivo. La telemetría se procesa dentro de la CVM—un entorno al que el personal de Meta y WhatsApp no puede acceder—y se libera como agregados diferencialmente privados. La privacidad diferencial añade ruido calibrado de modo que agregar o eliminar datos de un único usuario tiene un efecto negligible en los números publicados.

El versionamiento de modelo cierra la superficie de ataque restante. Ni Meta ni WhatsApp pueden enviar un modelo dirigido a un usuario específico—una restricción impuesta arquitectónicamente, no simplemente por política. Cada versión del modelo, incluidas variantes experimentales, se publica en un registro de transparencia público antes del despliegue. Los pesos del modelo son públicos, de modo que investigadores independientes pueden verificar que el modelo se dirige a la clasificación de estafas y no se reutiliza para vigilancia de contenido. El programa de recompensa de errores expandido prueba estas garantías. Los usuarios pueden auditar el comportamiento de la función en su propio dispositivo a través de registros en la aplicación.

Dos advertencias operativas importan para los arquitectos que consideran despliegues similares. Primero: los datos de entrenamiento provienen completamente de mensajes que los usuarios reportaron explícitamente. El modelo refleja patrones de estafas visibles para usuarios que se han registrado, no una señal de espectro completo. Segundo: compartir los últimos 5 mensajes—disponibles solo después de marcar un chat como confiable—es el único camino para que el contenido del mensaje llegue a los servidores de Meta, y requiere un nuevo consentimiento cada vez. Esto limita el bucle de retroalimentación para la mejora del modelo, aceptable para la clasificación de estafas pero un cuello de botella para casos de uso que requieren bucles de señal más alta.

Inferencia en dispositivo más análisis federado controlado por TEE es ahora un patrón validado en producción para clasificación donde restricciones regulatorias y de privacidad descartan la calificación en servidor. El tradeoff: un bucle de entrenamiento restringido y actualizaciones de modelo limitadas por lo que los usuarios voluntariamente exponen.