Los mercados son adversarios

Abre cualquier manual de aprendizaje automático y en algún punto del primer capítulo te toparás con una suposición silenciosa pero estructural: tus datos se extraen de forma i.i.d. — independiente e idénticamente distribuida — de algún proceso fijo, y tu trabajo es estimar ese proceso. El mundo escupe fotos de gatos, dígitos manuscritos, correos de spam; tú ajustas un modelo; el mundo sigue escupiendo el mismo tipo de cosa, indiferente a si acertaste o no. La naturaleza no lee tu modelo. A la naturaleza le da igual.

A los mercados no les da igual.

Un mercado es el único “proceso generador de datos” que cambia su comportamiento en respuesta a tu modelo — a veces de forma mecánica (tu orden de compra mueve el precio), a veces de forma deliberada (otra mesa de operaciones aplica ingeniería inversa a tu ventaja y se te adelanta). Aquello que intentas predecir también está intentando predecirte a ti. Ese único hecho rompe la cómoda historia de la estimación y la sustituye por algo más parecido a una partida de ajedrez contra un oponente que puede ver tu lista de jugadas.

Este curso toma su marco no de la estadística, sino de la seguridad informática, donde nadie ha asumido jamás que el entorno sea amistoso. La gente de seguridad construye para la peor entrada que un adversario inteligente pueda diseñar, no para la entrada media que la naturaleza casualmente envía. Esa es la mentalidad de seguridad, y es la mentalidad correcta para el ML cuantitativo. La conclusión de toda esta primera lección: en los mercados, tu distribución de test no la extrae la naturaleza — la elige un oponente, y el oponente puede mirar tu modelo primero.

La suposición i.i.d. y por qué las finanzas la rompen

Analogía. Predecir fotos de gatos es como pescar en un estanque abastecido por un guarda indiferente: los peces no saben que estás ahí, y el estanque de mañana se parece al de hoy. Predecir mercados es como pescar en un estanque donde los peces han leído tu caja de aparejos, han observado dónde lanzaste el anzuelo ayer y han acordado entre ellos nadar exactamente donde tu anzuelo no está. Misma caña, estanque muy distinto.

Definición. Un proceso generador de datos (PGD) i.i.d. estacionario produce cada observación como una extracción independiente de una única distribución fija $P$. Formalmente, las muestras $x_1, x_2, \dots, x_n$ satisfacen

$x_i \sim P \quad \text{de forma independiente}, \qquad P \text{ fija para todo } i.$

Crucialmente, $P$ no depende de tu modelo $f$, de tus acciones pasadas ni de nada que hagas. Las garantías de generalización de la teoría del aprendizaje — el error de entrenamiento sigue al error de test — descansan todas en que los conjuntos de entrenamiento y de test se extraigan de esa misma $P$.

Los mercados violan esto de dos maneras crecientes. Ponlas una al lado de la otra:

Reactivo significa que el acto de operar sobre una predicción cambia la misma magnitud que predijiste. Pronosticas que el precio subirá, compras, y tu compra en sí misma empuja el precio — de modo que el mundo que mediste después de actuar ya no es el mundo que modelaste antes de actuar. Estratégico es peor: significa que hay otros optimizadores en el sistema cuyo objetivo es en parte el negativo del tuyo. Ya no estás estimando una $P$ fija; eres un jugador en un juego no cooperativo, y la “distribución” es un resultado de equilibrio que depende de la estrategia de todos, incluidas las contraestrategias provocadas por tu modelo.

Ejemplo resuelto. Supón que tu modelo dice que una acción está mal valorada y “debería” estar a $100,50 frente a los $100,00 actuales, así que quieres comprar 100.000 acciones. Bajo una visión pasiva i.i.d. anotarías la ventaja completa de $0,50 por acción: 100.000 acciones por $0,50 son $50.000. Ahora añade un PGD reactivo con un impacto lineal de $0,01 por cada 10.000 acciones. Tu propia compra empuja el precio hacia arriba: para cuando terminas, el precio medio de ejecución es aproximadamente 100,00 más un medio por (100.000 / 10.000) por 0,01 — es decir, 100,00 + 0,05 = $100,05. Tu ventaja realizada por acción se desploma de $0,50 a 100,50 − 100,05 = $0,45, y eso es antes de que entre un adversario estratégico. Si un rival detecta tu compra y sube las ofertas por delante de ti, el propio valor justo deriva hasta $100,40 mientras operas, dejándote una ventaja realizada cercana a 100,40 − 100,05 = $0,35 — y en la siguiente ronda el adversario se adelanta antes, comprimiéndola aún más. El número que “estimaste” nunca fue una propiedad fija del mundo; fue una función de cuán ruidosamente lo perseguiste.

Cuándo usarlo

Invoca la escalera pasivo-vs-reactivo-vs-estratégico siempre que estés a punto de confiar en un número de backtest. Pregúntate: ¿sobreviviría esta estimación a mi propia huella (reactivo)? ¿Sobreviviría a un competidor que puede ver lo que yo veo y actúa sobre ello (estratégico)? Si la estrategia es pequeña, lenta y solitaria, la aproximación pasiva quizá sirva. Si es grande, rápida o está abarrotada, estás jugando un juego, no estimando la naturaleza — y debes modelar a los demás jugadores.

Modelos de amenaza — tomados de la seguridad

Analogía. Un arquitecto de castillos no pregunta “¿qué tan bonitos están los muros en un día tranquilo?” — pregunta “¿por dónde puede entrar alguien?”. Puertas, poternas, el pozo, el proveedor de la cocina, el guardia al que se puede sobornar. Cada uno es una vía de entrada. Un modelo de trading también tiene puertas, y la mayoría de los cuantitativos nunca dibujan el mapa.

Definición. Un modelo de amenaza es una enumeración explícita de (1) lo que un adversario puede observar, (2) lo que puede modificar y (3) lo que intenta conseguir. La superficie de entradas y componentes que puede alcanzar es la superficie de ataque. Para un modelo de trading, la superficie de ataque tiene cuatro puertas distintas:

• Las entradas (feed de datos de mercado). Las cotizaciones y operaciones pueden fabricarse. El spoofing — colocar órdenes grandes que pretendes cancelar — pinta un cuadro falso de oferta y demanda precisamente para alimentar a tu modelo con una mentira. Tu “característica” es el mensaje del atacante.
• Los datos de entrenamiento. El poisoning — un adversario que puede influir en lo que acaba en tu conjunto de entrenamiento (o que simplemente opera con patrones que sabe que aprenderás) puede plantar estructura que parece señal y detona en vivo.
• El propio modelo. Mediante interacción repetida, un adversario puede realizar extracción de modelo (reconstruir tu regla de decisión a partir de cómo reaccionas) o inferencia de pertenencia / atributos (averiguar qué tienes o cómo estás posicionado). Tu flujo de órdenes es un canal lateral que filtra tu modelo.
• El entorno. Tu propio impacto de mercado más los oponentes adaptativos que cambian su comportamiento a medida que aprenden el tuyo. La arena no es un decorado fijo; se adapta.

También tomamos prestada la taxonomía de adversarios de la seguridad:

El principio rector. El principio de Kerckhoffs de la seguridad dice que un sistema debe ser seguro incluso si todo lo relativo a él, salvo la clave secreta, es público — asume que el adversario conoce tu sistema. Replanteado para el trading: asume que tu ventaja será objeto de ingeniería inversa. No apuestes tu supervivencia al secreto de tu alfa; apuéstala a si el alfa sigue funcionando una vez que un oponente listo y bien capitalizado sabe exactamente lo que haces. Si tu estrategia solo sobrevive porque nadie la ha notado todavía, no tienes una ventaja robusta — tienes una cuenta atrás.

Ejemplo resuelto. Imagina un adversario de caja negra sondeando un bot de reversión a la media. Envían una pequeña venta de $200.000 para ver si “alguien” compra reflejamente la caída, y luego observan la cinta. Supón que tu bot, en efecto, compra aproximadamente el 30% de cualquier movimiento a la baja en segundos. Después de, digamos, 40 sondeos, el adversario ha estimado tu coeficiente de reacción con un margen de un pequeño porcentaje — puramente a partir de tu comportamiento, sin ver jamás una línea de tu código. Ahora dan la vuelta al juego: empujan el precio hacia abajo con $2.000.000 de ventas, dejan que tu bot compre obedientemente 0,30 por $2.000.000 = $600.000 de inventario en caída, y luego siguen vendiendo contra tu puja. Compraste el cuchillo; ellos te lo entregaron. Un adversario de caja blanca se salta los 40 sondeos — lee el coeficiente directamente de tu código y ataca en el sondeo uno.

Cuándo usarlo

Dibuja el modelo de amenaza antes de dibujar la arquitectura del modelo. Para cada nueva estrategia, lista literalmente las cuatro puertas y un ataque concreto en cada una, luego hazte la pregunta de Kerckhoffs: “si mi competidor más feroz tuviera todo mi código fuente, ¿esto seguiría dando dinero?”. Usa la suposición de caja blanca para todo aquello cuyo secreto no puedas garantizar (que es casi todo, ya que el comportamiento filtra). Reserva la suposición más benévola de caja negra solo para ventajas genuinamente ocultas y de decaimiento rápido — e incluso entonces, vigila los sondeos.

Por qué robusto no es lo mismo que preciso

Analogía. Un puente calificado para el camión medio que lo cruzó el año pasado es “preciso”. Un puente calificado para el camión más pesado que plausiblemente pudiera cruzarlo alguna vez es “robusto”. El adversario en finanzas es el ingeniero que elige qué camión aparecerá el día después de que cortes la cinta — y elegirá el más pesado para el que tu modelo nunca entrenó.

Definición. La precisión estándar (o el Sharpe de backtest) es el rendimiento promediado sobre la distribución de entrenamiento $P$:

$\text{Precisión}(f) = \mathbb{E}_{x \sim P}\big[\,\text{rendimiento}(f, x)\,\big].$

La robustez es el rendimiento bajo la peor distribución $Q$ en un conjunto de incertidumbre $\mathcal{U}$ de distribuciones que un adversario podría producir de forma plausible:

$\text{Robustez}(f) = \min_{Q \in \mathcal{U}} \; \mathbb{E}_{x \sim Q}\big[\,\text{rendimiento}(f, x)\,\big].$

Las dos pueden divergir por completo. Un modelo puede bordar la media ($P$) y fallar el peor caso ($Q$), porque el adversario no tiene por qué jugar $P$ — esa es tu distribución de entrenamiento, y él no está obligado a extraer de ella.

Ejemplo resuelto. Toma una estrategia con un Sharpe de backtest de 2,0. Su rendimiento anualizado es, digamos, del 16% con una volatilidad del 8% ($16/8 = 2,0$). La ventaja se apoya fuertemente en una característica — un desequilibrio de flujo de órdenes a corto plazo — que históricamente promediaba $+0,3$ antes de los movimientos al alza. Ahora un adversario (que sabe esto, según Kerckhoffs) gasta un poco para desplazar esa única característica: hace spoofing del flujo de modo que el desequilibrio marque $+0,3$ cuando la verdad es neutra, invirtiendo sistemáticamente tu señal en los peores momentos. Bajo esta $Q$ adversaria la ventaja de la estrategia se invierte: ahora compra justo antes de que el movimiento fabricado revierta. Supón que el rendimiento oscila hasta $-8\%$ con la misma volatilidad del 8% — Sharpe $-8/8 = -1,0$. Mismo modelo, mismo código, pesos intactos. Habilidad de caso medio de $+2,0$, habilidad de peor caso de $-1,0$, y el adversario, no tú, decidió en cuál de las dos vivirías.

Cuándo usarlo

Siempre que informes de un número de rendimiento promedio, oblígate también a declarar el conjunto de incertidumbre contra el que implícitamente te defiendes y el número de peor caso sobre él. “Sharpe 2,0” es media frase; “Sharpe 2,0 sobre el histórico, y no peor que 0,8 bajo cualquier desplazamiento de hasta dos desviaciones estándar en una sola característica” es la frase completa. Si no puedes declarar la segunda mitad, has medido precisión y la has llamado robustez.

Reflexividad y mercados adaptativos

Analogía. Un atajo por el bosque es rápido precisamente porque está vacío. Publícalo en todas las apps de senderismo y en una temporada se convierte en un sendero congestionado y erosionado — más lento que la carretera. El atajo no empeoró; ser conocido lo empeoró. Las ventajas son atajos que se degradan en el momento en que una multitud los descubre.

Definición. La reflexividad (George Soros) es la idea de que las creencias y acciones de los participantes retroalimentan los fundamentos a los que reaccionan, de modo que el precio y la “realidad” coevolucionan en lugar de que uno refleje pasivamente al otro. La Hipótesis de los Mercados Adaptativos (Andrew Lo) replantea la eficiencia como evolutiva: las estrategias son especies, los beneficios son alimento, y una ventaja que se explota acaba pescada hasta agotarse — la competencia se adapta, el nicho se cierra, y la ventaja decae. Juntas formalizan por qué la primera frase de esta sección es cierta: la distribución de test es endógena a la población de estrategias. Tu acción sobre una ventaja es una de las fuerzas que la destruye.

Este es el primo conceptual del decaimiento del alfa (alpha decay) y el abarrotamiento del alfa (alpha crowding) del curso Arbitraje sistemático y estadístico (preparamos el análisis profundo para la lección 4). El decaimiento del alfa es la reflexividad con un gráfico adjunto: la vida media de una señal se reduce a medida que más capital la persigue, porque el propio capital comprime el diferencial del que se alimenta la señal.

Ejemplo resuelto. Una señal de operativa de pares capturaba históricamente un diferencial de reversión a la media de 40 puntos básicos, $0,0040$ por ciclo. Es modesto pero real. La señal se publica y el capital se acumula. Modela el abarrotamiento como el diferencial capturado reduciéndose a la mitad con cada duplicación del capital de abarrotamiento: al principio te quedas el $0,40\%$ completo; tras una duplicación, $0,20\%$; tras dos, $0,10\%$; tras tres, $0,05\%$. Resta un coste de ida y vuelta del $0,08\%$. Para la segunda duplicación tu ventaja neta es $0,10\% - 0,08\% = 0,02\%$ — apenas respirando — y para la tercera es $0,05\% - 0,08\% = -0,03\%$: la operación ahora pierde dinero solo por los costes. La señal nunca estuvo “equivocada”. Fue consumida. Cada dólar que actuó sobre ella se comió una porción del mismo diferencial del que dependía, hasta que el diferencial fue más fino que el peaje para cruzarlo.

Cuándo usarlo

Echa mano de la lente de la reflexividad siempre que una ventaja sea visible, popular o esté abarrotada — una anomalía publicada, una estrategia que “todo el mundo” ejecuta, un factor con miles de millones persiguiéndolo. Estima una vida media de decaimiento y dimensiona como si la ventaja se estuviera muriendo, porque lo está. Por el contrario, si una ventaja es genuinamente oscura y de capacidad limitada, la reflexividad muerde más despacio — pero nunca asumas que no morderá en absoluto. En el momento en que escalas, tú te conviertes en la multitud.

La trampa de la evaluación de robustez

Analogía. “Cerré mi puerta de entrada, así que mi casa es segura” — dicho con todas las ventanas abiertas. Probaste la amenaza en la que pensaste; el ladrón prueba la que no. Una prueba de estrés solo es tan honesta como la imaginación de la persona que la diseñó, y tú la diseñaste sabiendo qué le gusta a tu modelo.

Definición. La trampa de la evaluación de robustez es la asimetría de que las afirmaciones de robustez son más fáciles de falsear que las afirmaciones de alfa, porque una afirmación de robustez solo es tan fuerte como la prueba de estrés que la respalda — y tú, el que afirma, diseñaste la prueba de estrés. Una afirmación de alfa al menos se enfrenta a un juez externo: el P&L en vivo. Una afirmación de robustez se enfrenta a un juez que tú elegiste a dedo. Formalmente, informas de

$\min_{Q \in \mathcal{U}_{\text{que elegiste}}} \; \text{rendimiento}(f, Q),$

pero el adversario minimiza sobre el conjunto factible verdadero $\mathcal{U}_{\text{real}}$, que casi siempre es mayor que el que imaginaste. Si $\mathcal{U}_{\text{que elegiste}} \subsetneq \mathcal{U}_{\text{real}}$, tu peor caso es optimista por construcción.

Este es el credo del Sharpe deflactado con un sombrero nuevo. En Aprendizaje automático para el alfa aprendiste a deflactar un Sharpe de backtest por el número de intentos que hiciste, porque el mejor de muchos intentos ruidosos parece hábil por suerte. La misma enfermedad infecta las pruebas de estrés: cada escenario de estrés que pruebas y luego descartas calladamente cuando rompe tu modelo es un intento. Informa solo de los escenarios que sobrevivió y habrás blanqueado la fragilidad en una comprobación de robustez “superada” exactamente del mismo modo en que la búsqueda en rejilla blanquea el sobreajuste en un Sharpe. Construimos la versión honesta de esto — evaluación adversaria, de peor caso, con recuento de intentos — en la lección 6.

Ejemplo resuelto. Pruebas tu estrategia contra tres perturbaciones que se te ocurrieron: ±1% de ruido de precio, una interrupción de datos de un día y un diferencial duplicado. Sobrevive a las tres — el Sharpe se mantiene por encima de 1,5 — y escribes “robusta al estrés” en la presentación. Pero la ventaja de tu modelo en realidad depende del signo de una característica de flujo de órdenes, y ninguna de tus tres pruebas invierte jamás ese signo. El primer movimiento del adversario lo invierte (ese es el ejemplo de la Sección 3), y la estrategia se va a $-1,0$. Hiciste tres intentos, todos en el interior seguro del conjunto de incertidumbre, e informaste de los supervivientes. La afirmación honesta nunca fue “superó mis tres pruebas”; fue “no tengo ni idea de cuál es el peor caso, porque nunca lo busqué — busqué pruebas que superaría”.

Cuándo usarlo

Aplica el máximo escepticismo precisamente cuando un resultado te halaga — “superó todas las pruebas que hice” debería disparar la pregunta “¿cuántas pruebas hice, y las diseñé para que fueran superables?”. Prefiere la búsqueda adversaria de peor caso (un optimizador cazando la perturbación que más duele) sobre un menú elegido a dedo de choques benignos. Y siempre que presentes una afirmación de robustez, revela el conjunto de incertidumbre y el recuento de intentos, igual que revelarías el número de backtests detrás de un Sharpe. Anticipando la lección 6: la única robustez en la que merece la pena confiar es la que sobrevive a un oponente que intenta romperla, no la que sobrevive a las pruebas que esperabas que superara.

Recapitulación

Entraste con la imagen del manual — ajusta una distribución fija e indiferente, confía en la media — y sales con la mentalidad de seguridad: el proceso generador de datos es reactivo y a veces estratégico, el modelo tiene una superficie de ataque de cuatro puertas, “robusto” significa peor caso sobre el conjunto de incertidumbre de un adversario en lugar de la media sobre tu conjunto de entrenamiento, las ventajas decaen porque actuar sobre ellas cambia el mundo, y las afirmaciones de robustez son más fáciles de falsear que las afirmaciones de alfa porque corriges tu propia prueba de estrés. Asume que tu ventaja será objeto de ingeniería inversa, asume que el camión más pesado cruzará tu puente, y asume que tu conjunto de test es en parte obra tuya. Esa paranoia es el cimiento de todo el curso.