Identifier les vols de modèles d’IA grâce à des données de suivi secrètes

Une nouvelle méthode peut marquer discrètement des modèles similaires à ChatGPT en quelques secondes, sans réentraîner, sans laisser de trace dans la sortie générale et en résistant à toutes les tentatives de suppression possibles.

La différence subtile entre le marquage d’eau et le « piège de droit d’auteur » est que les marques d’eau – qu’elles soient ouvertes ou cachées – sont généralement destinées à apparaître à travers une collection (telle qu’un ensemble de données d’images) comme un obstacle à la copie occasionnelle.

En revanche, une entrée fictive est un petit segment de texte, généralement un mot ou une définition présenté dans une collection grande et relativement générique, conçu pour prouver le vol. L’idée est que lorsque l’ensemble de l’œuvre est copié de manière illicite, soit en soi, soit comme base d’une œuvre dérivée, la présence d’un « fait unique » et erroné, planté par le propriétaire d’origine, révélera facilement l’acte de vol.

En termes d’ajout de marques d’eau aux modèles de langage à grande échelle (LLM) et aux modèles de vision de langage (VLM), la mesure dans laquelle la sortie est censée contenir ces signes révélateurs est souvent partagée entre ces deux objectifs: garantir que toute ou la plupart des sorties contiennent une marque d’eau manifeste ou latente; ou garantir qu’un « jeton secret » peut être récupéré qui prouve le vol – mais qui n’apparaît pas dans la sortie régulière du modèle.

Le(s) poids de la preuve

La deuxième approche est abordée dans une collaboration intéressante entre la Chine, l’Italie et Singapour; un travail qui vise à fournir une telle méthode de divulgation aux modèles open source, afin qu’ils ne puissent pas être facilement commercialisés ou utilisés de manière non autorisée par la licence d’origine.

Par exemple, la licence d’origine d’un modèle peut exiger que quiconque peut profiter du travail doit rendre ses propres modifications ou amendements publiquement disponibles sous les mêmes termes de licence généreuse – mais une entreprise peut souhaiter garder ses « ajustements » (tels que des versions affinées) pour générer un fossé où aucun n’est vraiment autorisé.

La majorité de la recherche dans ce domaine est consacrée aux routines de détection liées aux modèles à code source fermé, aux modèles API uniquement, ou aux modèles pour lesquels seuls les poids optimisés (quantifiés) sont disponibles; et qui sont donc plus difficiles à modifier et à altérer de la manière proposée par le nouveau document (car il n’y a pas d’accès direct à l’architecture du modèle lui-même).

Cette attention portée aux sorties FOSS n’est peut-être pas surprenante de la part du secteur de la recherche chinois, puisque la production d’IA de la Chine a été caractérisée au cours de la dernière année par des sorties complètes et généreuses de modèles qui rivalisent au moins avec les équivalents occidentaux plus « verrouillés ».

La nouvelle approche, intitulée EditMark, se distingue en ce qu’elle n’exige pas que le modèle soit affiné pour ajouter les « données empoisonnées », ni formé dès le départ avec les données incluses.

Ceci présente plusieurs avantages: l’un est que toute « différence révélatrice » incluse dans le jeu de données d’entraînement, une fois découverte et divulguée, ne sera plus efficace, car elle peut être directement ciblée par les attaquants; mais pour attaquer EditMark, un malfaiteur devrait savoir quelle couche du modèle cibler, et quel type d’approche a été adopté. Ceci est un scénario peu probable.

Deuxièmement, l’approche est rapide et peu coûteuse, prenant une question de secondes (plutôt que des jours ou même des semaines) pour être appliquée à un modèle formé, ce qui élimine les coûts importants de l’affinage (qui augmentent linéairement avec la taille du modèle et les données à appliquer).

Enfin, l’approche fait nettement moins de dommages au fonctionnement normal du modèle ciblé que l’affinage ou les méthodes d’édition antérieures.

Dans les tests, EditMark – qui intègre des requêtes mathématiques avec plusieurs réponses possibles dans les poids du modèle – a atteint un taux d’extraction de 100 %.

Les auteurs déclarent:

‘Des expériences complètes démontrent les performances exceptionnelles d’EditMark dans le marquage d’eau des LLM. EditMark atteint une efficacité remarquable en intégrant une marque d’eau de 32 bits en moins de 20 secondes avec un taux de réussite d’extraction de la marque d’eau de 100 % (ESR).

‘Notamment, le temps d’intégration de la marque d’eau est inférieur à 1/300 de l’affinage (en moyenne 6 875 secondes), ce qui met en évidence l’efficacité d’EditMark pour mettre en œuvre des marques d’eau à haute capacité avec une vitesse et une fiabilité sans précédent.

‘De plus, des expériences approfondies valident la robustesse, la discrétion et la fidélité d’EditMark.’

Le nouveau document est intitulé EditMark: Marquage d’eau des modèles de langage à grande échelle basé sur l’édition de modèle, et provient de huit auteurs issus de l’Université des sciences et de la technologie de Chine, de l’Université de Sienne et de CFAR/IHPC/A*STAR à Singapour.

Méthode

L’approche EditMark comprend quatre composants: un Générateur, un Encodeur, un Éditeur, et un Décodeur:

La pipeline EditMark intègre une marque d’eau en éditant un modèle pour répondre à des questions mathématiques spécifiques de manière à encoder des informations d’identification cachées. Source: https://arxiv.org/pdf/2510.16367

Le Générateur utilise une graine pseudo-aléatoire pour construire des questions mathématiques à réponses multiples; l’Encodeur sélectionne des réponses en fonction de la marque d’eau, qui sont ensuite intégrées dans le modèle via un processus d’édition spécialisé. Une fois le modèle édité publié ou mal utilisé, la marque d’eau peut être extraite en posant les mêmes questions et en décodant le modèle de réponses.

Par la suite, l’Éditeur modifie les poids du modèle de telle sorte que, lorsqu’on lui pose ces questions générées, le modèle produise de manière fiable les réponses ciblées, en intégrant la marque d’eau directement dans son comportement. Le Décodeur récupère ensuite la marque d’eau en alimentant le modèle suspect avec les mêmes questions et en traduisant ses réponses en signature cachée.

Modèle de menace

Le modèle de menace du document suppose que le marquage d’eau est effectué dans un environnement à boîte blanche. Bien que cela ne soit généralement pas un bon signe dans la recherche liée à la sécurité, ici cela est normal, car la méthode vise à protéger les propriétaires qui ont un accès complet à leur propre travail.

L’attaquant est également supposé avoir un accès à boîte blanche après avoir obtenu le modèle, ce qui signifie qu’il peut le modifier (par exemple, en le réduisant ou en l’affinant). À nouveau, ce scénario est normal et attendu dans le cas d’une sortie FOSS. Cependant, l’attaquant n’a pas connaissance du processus d’extraction de la marque d’eau ou du schéma utilisé, et ne peut le découvrir que par inférence et expérimentation (ou par fuite).

Le Générateur construit des questions mathématiques logiquement et factuellement valides avec plusieurs réponses correctes, en utilisant GPT-4o pour diversifier les modèles (comme illustré ci-dessous), et une graine pseudo-aléatoire pour garantir que chaque question est unique. Cela permet d’intégrer une marque d’eau connue de manière déterministe via des permutations de réponses, tout en minimisant les chevauchements entre les questions, pour éviter l’entanglement d’édition:

Modèles de questions générées par GPT-4o pour l’intégration de marques d’eau, chacun structuré pour produire plusieurs réponses entières valides à partir d’une inégalité à graine.

L’Encodeur transforme chaque segment de marque d’eau binaire en une permutation unique d’entiers tirés de l’ensemble de solutions d’une question mathématique donnée. En utilisant la théorie de permutation lexicographique, l’Encodeur mappe la valeur décimale de chaque segment de marque d’eau à une sélection d’ordre spécifique de réponses, en garantissant que la marque d’eau est déterminiquement intégrée dans le comportement du modèle.

En ce qui concerne l’Éditeur, la méthode d’édition de modèle AlphaEdit originale utilisée pour le marquage d’eau manque à la fois de précision et de résilience, avec le modèle édité qui échoue souvent à produire les réponses requises. Toute modification qu’il fait est facilement brisée par la réduction ou le bruit.

Pour surmonter cela, les auteurs ont conçu une stratégie d’édition multi-tour qui ajuste progressivement les poids du modèle à une seule couche MLP jusqu’à ce que ses réponses soient suffisamment alignées sur les réponses souhaitées. Pour durcir les éditions contre les attaques, ils injectent également un bruit gaussien pendant la formation, pour simuler les attaques:

Distribution des changements de K1 pour Baichuan-7B, Qwen-7B et LLaMA3-8B avant et après les attaques. La rangée supérieure montre l’effet de l’injection de bruit aléatoire; la rangée inférieure montre l’effet de la réduction du modèle. Tous les changements restent proches de zéro, suggérant que les attaques n’altèrent pas de manière significative le comportement interne du modèle.

Un système de notation arrête le processus une fois que les éditions sont suffisamment précises, tandis que la régularisation garantit que les mises à jour restent stables sur plusieurs tours.

Le Décodeur pose au modèle les mêmes questions spéciales utilisées lors du marquage d’eau, puis lit ses réponses pour inférer l’ID caché. Puisque le modèle de réponses suit une règle secrète, cet ID peut être récupéré sans examiner les internes du modèle.

Données et tests

Pour mettre EditMark à l’épreuve, cinq LLM ont été évalués: GPT2-X; GPT-J-6B; LLaMA-3-8B; Baichuan-7B; et Qwen-7B. La méthode d’édition AlphaEdit a été utilisée pour intégrer les marques d’eau, tandis que le taux de réussite d’extraction (ESR) et le temps d’intégration (ET) étaient les métriques adoptées.

Pour les références, les auteurs ont choisi Model Watermark (backdoor); KIMark; et BadEdit, un cadre initialement conçu pour l’injection de backdoor, ici adapté aux propres objectifs du projet.

Les auteurs ont édité la 15e couche de LLaMA-3-8; la 17e de GPT2-XL et GPT-J-6B; et la 14e de Qwen-7B et Baichuan-7B.

Les expériences ont été menées sur quatre GPU NVIDIA RTX 4090 (24 Go de VRAM chacun), avec des marques d’eau de 32 bits, 64 bits et 128 bits intégrées. Les modèles de questions utilisés sont détaillés dans l’image ci-dessous:

Modèles utilisés pour générer des questions à réponses multiples (MA) pour le marquage d’eau. Chaque question est basée sur un type différent d’inégalité mathématique, avec des valeurs aléatoires insérées pour les variables. Le modèle est invité à renvoyer une liste de solutions entières, avec l’ordre des réponses utilisé pour encoder ou décoder les bits de la marque d’eau. Les quatre modèles couvrent les formes quadratiques, logarithmiques, rationnelles et basées sur les intervalles, et tous ont été générés à l’aide de GPT-4o.

Pour réduire les effets du hasard, des graines de 1 à 20 ont été appliquées lors des tests, sur différentes capacités de marques d’eau.

Initialement, les chercheurs ont testé à la fois le taux de réussite d’extraction (ESR) et le coût en temps pour intégrer une marque d’eau dans la gamme de LLM:

Comparaison d’EditMark avec trois méthodes de marquage d’eau antérieures sur cinq grands modèles de langage. Les taux de réussite d’extraction (ESR) et les temps d’intégration (ET) en secondes sont indiqués. EditMark atteint régulièrement un taux de réussite de 100 % tout en réduisant le temps d’intégration de plusieurs ordres de grandeur, surpassant ainsi toutes les références en termes de précision et d’efficacité sur des modèles de tailles et d’architectures variées.

Sur ces résultats, les auteurs déclarent:

‘[EditMark] atteint un taux de réussite d’extraction de 100 % et nécessite moins de 20 secondes pour intégrer une marque d’eau de 32 bits pour tous les LLM évalués. En particulier, le temps d’intégration moyen pour Baichuan-7B et Qwen-7B est inférieur à 10 secondes, ce qui démontre l’efficacité élevée d’EditMark.’

Pour l’évaluation d’une marque d’eau de 128 bits, la plus grande valeur réalisable dans un tel schéma, EditMark a pu maintenir un statut d’« indélébilité »:

Taux de réussite d’extraction et temps d’intégration pour EditMark sur des longueurs de marques d’eau de 32, 64 et 128 bits sur cinq modèles de langage. Des taux de réussite parfaits sont maintenus dans tous les cas, tandis que le temps d’intégration augmente avec la taille de la marque d’eau, mais reste inférieur à une minute, même à 128 bits.

Ensuite, la capacité du système à maintenir la fidélité de la marque d’eau a été testée sur plusieurs références:

Évaluation de la fidélité de la marque d’eau sur quatre références sur cinq modèles, en comparant les modèles non modifiés avec les modèles avec des marques d’eau de 32 bits et 128 bits. Les performances restent stables sur toutes les configurations, avec seulement de légères fluctuations dans les scores moyens, indiquant un impact limité sur la précision de la référence due à l’insertion de la marque d’eau.

La résilience d’EditMark a été testée contre six stratégies d’attaque courantes. Les modèles ont d’abord été intégrés avec des marques d’eau de 128 bits à l’aide de cinq graines différentes. L’affinage, comme le montre l’image ci-dessous, n’a entraîné qu’une légère dégradation des taux de réussite d’extraction (ESR) pour la plupart des modèles:

Taux de réussite d’extraction (ESR) des LLM avec des marques d’eau avant et après affinage pendant un à trois époques. Alors que la plupart des modèles conservent des ESR élevés tout au long, Qwen-7B montre un déclin marqué, suggérant une vulnérabilité plus grande aux mises à jour de paramètres.

Même après plusieurs époques, la plupart des modèles ont conservé des ESR supérieurs à 90 %, indiquant qu’EditMark résiste au dérive des paramètres introduit par la formation basée sur LoRA.

Les attaques de quantification ont réduit la précision du modèle, mais ont laissé la plupart des marques d’eau intactes:

Taux de réussite d’extraction (ESR) des modèles avec des marques d’eau avant et après quantification à l’aide de précisions Int-8 et Int-4. L’ESR reste inchangé sous la quantification Int-8 sur tous les modèles, tandis que la quantification Int-4 entraîne une dégradation partielle, indiquant que une précision plus faible peut affaiblir, mais pas supprimer complètement la marque d’eau.

Comme on peut le voir dans l’image ci-dessus, la quantification Int-8 a préservé un ESR de 100 % sur tous les modèles, tandis que la quantification Int-4 a eu un impact modéré sur l’ESR, mais a introduit des pertes de performance inacceptables.

Comme le note le document, ce scénario particulier suggère un potentiel limité pour un attaquant, puisque cela aboutit à un modèle piraté mais dont les performances sont dégradées.

Les tests de bruit et de réduction ont évalué quatre cadres de référence: MMLU; BLIMP; TruthfulQA; et GLUE. Ces attaques ont entraîné une diminution de l’ESR à mesure que les perturbations s’intensifiaient:

Effet des attaques de bruit (rangée supérieure) et de réduction (rangée inférieure) sur l’ESR et les performances des modèles avec des marques d’eau. À mesure que l’ESR diminue avec l’intensification des perturbations, la précision de la référence se dégrade également, en particulier à des niveaux de bruit et de réduction élevés, mettant en évidence la tension (coutumière) entre la suppression de la marque d’eau et l’utilité du modèle.

Cependant, ces attaques ont également entraîné des déclins aigus des performances de tâche, avec Baichuan-7B subissant une baisse de 27-31 % sur BLIMP lorsqu’un bruit ou une réduction étaient appliqués.

Les attaques d’édition de modèle et les attaques adaptatives ont également été évaluées:

Taux de réussite d’extraction des modèles avec des marques d’eau soumis à différents degrés d’édition de modèle. Même avec jusqu’à cinquante éditions appliquées aux couches de marques d’eau connues, l’ESR reste supérieur à 95 % pour tous les modèles, indiquant que les modifications directes des paramètres ont un effet limité sur la suppression de la marque d’eau.

Ici, EditMark a conservé plus de 95 % d’ESR, même lorsque les couches d’intégration exactes étaient ciblées.

Conclusion

La gestion des droits numériques (DRM), les marques d’eau secrètes et d’autres approches de sécurité qui ont connu un succès (limité ou partiel) à l’ère pré-AI sont difficiles à appliquer aux systèmes d’apprentissage automatique; la nature intentionnellement réductionniste de la gamme actuelle d’architectures hôte combine avec un manque d’outils appropriés pour rendre les marques d’eau injectées plutôt fragiles.

Il est impressionnant de voir un système visant la distribution de modèles FOSS, et de le voir résister à tous les scénarios sauf les plus improbables, en termes de connaissance préalable d’un attaquant. Néanmoins, la légère baisse de performances qui accompagne les éditions post-formation, bien que faible dans ces expériences, peut donner aux potentiels adoptants une raison de s’arrêter; ne serait-ce que parce que reculer vers un modèle de contrôle basé sur les API obvient de telles attaques presque entièrement.

* Ce site a soutenu que les sorties ‘poids ouverts’ de la Chine ne qualifient pas nécessairement de logiciels open source, puisque les données sont souvent retenues, ce qui empêche la reproduction exacte du pipeline d’entraînement. On peut soutenir que ce sujet invite à un examen plus approfondi de la politique des sorties de modèles d’IA comparées entre l’Ouest et l’Est, ce qui dépasse le cadre de cet article.

Publié pour la première fois lundi 27 octobre 2025