Dessa de Block: seguridad de la IA de voz speech-to-speech

El 23 de octubre de 2026, Block —la empresa detrás de Square y Cash App— anunció Dessa, un modelo de voz que describe como full-duplex y speech-to-speech. En lugar de transcribir tu voz a texto, ejecutar un modelo de lenguaje y leerte la respuesta, Dessa, según se dice, trabaja directamente en audio: escucha y habla como un único proceso continuo, así que se le puede interrumpir, maneja pausas y cambia de tono a mitad de frase. Block dice que se entrenó solo con voz —sin texto, sin modelos preentrenados— y se ejecuta en local en un MacBook Pro con chip M4 Max o superior.

Análisis independiente y neutral respecto a los proveedores. PlayCISO no está afiliado a Block. Dessa es una research preview: al momento de escribir no hay paper, pesos, API ni benchmarks públicos, y el acceso temprano se limita a un pequeño grupo de investigadores de seguridad de IA. Toda afirmación de capacidad y rendimiento aquí es de Block y no está verificada de forma independiente.

¿Puedes usar Dessa como chat de audio en vivo?

Respuesta corta: está hecho para eso, pero aún no puedes usarlo. Un modelo speech-to-speech full-duplex es justo la arquitectura que quieres para una conversación en vivo natural y de baja latencia: sin incómodos turnos de walkie-talkie, con las interrupciones manejadas con elegancia. Ese es el punto de Dessa. Pero es una research preview sin pesos públicos y sin API, así que hoy no hay nada que integrar en tu propio producto. Si Block lo publica, el trabajo de seguridad de abajo es lo que separa una «demo impresionante» de «seguro para ponerlo ante clientes».

Qué cambia el speech-to-speech para la seguridad

Importan dos cambios. Primero, la inferencia local es una ganancia real de privacidad: si el modelo se ejecuta en el dispositivo, el audio crudo no tiene por qué salir hacia un proveedor en la nube; menos lugares desde donde pueda filtrarse una grabación. Segundo, y menos cómodo, desaparece el cuello de botella del texto. Hoy la mayoría de las organizaciones aplican su registro, su filtrado de contenido y sus defensas contra la inyección de prompts en la transcripción. Un modelo audio-a-audio directo no tiene transcripción en medio, así que esos controles deben moverse a la capa de audio o reconstruirse. Añade la interrupción full-duplex y la manipulación que explota los turnos se vuelve una preocupación real.

Cómo proteger un modelo de voz (la versión corta)

• Decide dónde vive el audio. Inferencia local frente a nube, consentimiento de grabación, periodo de retención y residencia de datos: escríbelo antes de la primera llamada. Las mismas preguntas valen para los anotadores de reuniones en el dispositivo; mira nuestras comprobaciones sobre si Google AI Edge Foresight es seguro.
• Nunca autentiques solo con la voz. Una voz ahora es falsificable; trátala como una afirmación, no como una prueba. Usa un segundo factor para cualquier cosa sensible.
• Pon a una persona en el bucle para las acciones de alto riesgo. Los pagos, los cambios de credenciales y las exportaciones de datos no deberían completarse solo porque lo diga el modelo.
• Acota las herramientas del agente. Si el agente de voz puede llamar a funciones, dale mínimo privilegio y límites duros, exactamente como a cualquier agente de IA.
• Defiende la entrada de audio. Asume que los intentos de inyección de prompts y de jailbreak llegan como palabras habladas (u ocultos en el audio); fíltralos y aplica límites de tasa.
• Registra con cuidado. Las transcripciones y grabaciones son datos personales sensibles: minimiza, cifra y respeta el borrado.
• Planifica para el fraude. La mayor amenaza a corto plazo es el vishing con voz clonada; defiéndelo con proceso, no con detección.

Puntúa tu propia configuración con el Voice Model Deployment Security Scorecard, modela las amenazas de un agente concreto con el Voice AI Agent Threat-Model Lab y compara los modelos en la comparativa de modelos de IA de voz.

Más de 20 problemas de seguridad de la IA de voz que hay que prever

Ninguno es específico de Dessa; son la superficie de riesgo permanente de la IA de voz conversacional, y son el checklist frente al que contrastar cualquier modelo de voz, incluido uno que se ejecute en local.

1. Fraude con voz clonada (vishing). Voz sintética autorizando pagos o restablecimientos: la llamada del falso CEO. Defiéndelo con verificación fuera de banda, no con detección.
2. Inyección de prompts por audio. Instrucciones habladas al modelo («ignora tus reglas y…») que secuestran su comportamiento.
3. Inyección intermodal / de audio oculto. Comandos incrustados en audio de fondo, medios o tonos casi ultrasónicos que una persona apenas nota.
4. Suplantación del hablante / bypass de autenticación. Tratar una voz que suena reconocida como prueba de identidad: biometría de voz vencida por clonación o repetición.
5. Ataques de repetición. Audio capturado de un usuario legítimo reproducido para activar una acción o pasar una comprobación de huella de voz.
6. Consentimiento de grabación y exposición a leyes de escucha. Las jurisdicciones de consentimiento de ambas partes hacen de la grabación silenciosa un riesgo legal, no solo de privacidad.
7. PII en transcripciones y grabaciones. Datos personales muy sensibles retenidos, compartidos de más o guardados más allá de su propósito.
8. Residencia de datos / salida a la nube. La inferencia en la nube envía la voz cruda fuera del dispositivo y a través de fronteras; la inferencia local cambia el cálculo.
9. Abuso de herramientas / llamadas a funciones. A un agente de voz conectado a acciones reales se le puede convencer para que las use mal.
10. Permisos de agente demasiado amplios. El agente tiene más capacidad de la que necesita cualquier llamada concreta: radio de impacto cuando se le manipula.
11. Jailbreak / evasión de salvaguardas. Técnicas habladas que llevan al modelo más allá de sus restricciones de seguridad.
12. Fraude de uso / coste y denegación de cartera. Abusar de una API de voz medida para disparar el coste, o inundarla para denegar el servicio.
13. Acciones alucinadas y errores con confianza. El modelo afirma o hace algo mal con total confianza en una llamada de alto riesgo.
14. Manipulación de turnos / de hablar por encima. La interrupción full-duplex explotada para cortar al modelo antes de una advertencia o para inyectar a mitad de enunciado.
15. Procedencia / marca de agua ausentes. Ninguna forma fiable de que quien escucha sepa que la voz era sintética.
16. Suplantación de la palabra de activación. Activar un dispositivo o agente sin la intención del dueño.
17. Inyección de tokens de control SSML / TTS. Marcado o tokens de control maliciosos que alteran la salida o el procesamiento posterior.
18. Revocación del consentimiento y derecho al borrado. Eliminar los datos de voz de una persona —incluido lo derivado de ellos— cuando lo pida.
19. Registro que filtra por sí mismo. Logs de depuración y trazas que capturan audio o transcripciones en texto claro.
20. Fuga de datos entre inquilinos. El audio, el contexto o la huella de voz de un cliente apareciendo en la sesión de otro.
21. Cadena de suministro de los pesos del modelo. Pesos manipulados o con puerta trasera: el mismo riesgo de cadena de suministro de cualquier modelo, amplificado cuando habla con autoridad.
22. Exceso en la inferencia de emoción / sentimiento. Inferir y guardar el estado afectivo plantea sus propias cuestiones de consentimiento y perfilado.

La conclusión

Dessa es una señal interesante —speech-to-speech, full-duplex, local-first—, pero es una preview, no un producto, y la postura de seguridad honesta es «vigílalo, no lo despliegues todavía». El trabajo duradero es independiente de cualquier modelo: decide dónde vive el audio, nunca confíes en una voz como identidad, mantén a una persona en las acciones de alto riesgo y planifica el fraude con voz clonada como un problema de proceso. Hazlo, y cualquier modelo de voz que acabes adoptando partirá de un lugar defendible.

Guía educativa y general, no asesoría de seguridad ni legal. Los datos sobre Dessa se recogen del anuncio de Block del 23 de octubre de 2026 y de informaciones de la época, y no están verificados por PlayCISO.