Het identificeren van diefstal van AI-modellen via geheime volggegevens

Een nieuwe methode kan ChatGPT-achtige modellen in seconden zonder opnieuw te trainen, in het geheim watermerken, zonder enig spoor in de algemene uitvoer en overleven alle haalbare verwijderingspogingen.

Het subtiele verschil tussen watermerken en ‘copyright-baiting’ is dat watermerken – of ze nu zichtbaar of verborgen zijn – meestal bedoeld zijn om overal in een collectie (zoals een beeldverzameling) aanwezig te zijn als een alomtegenwoordige belemmering voor het kopiëren van inhoud.

Daarentegen is een fictieve invoer een klein segment van tekst, meestal een woord of een definitie die in een grote en relatief generieke collectie wordt weergegeven, ontworpen om diefstal te bewijzen. Het idee is dat wanneer het gehele werk illegitiem wordt gekopieerd, hetzij in zichzelf of als basis voor een afgeleid werk, de aanwezigheid van een ‘unieke’ en spurious feit, geplant door de oorspronkelijke eigenaar(s), gemakkelijk de diefstal zal onthullen.

In termen van het toevoegen van watermerken aan Large Language Models (LLM’s) en Vision Language Models (VLM’s), is de mate waarin de uitvoer bedoeld is om deze kenmerkende tekenen te bevatten, vaak verdeeld over deze twee doelen: om ervoor te zorgen dat alle of de meeste uitvoer een manifest of latent watermerk bevat; of om ervoor te zorgen dat een ‘geheime token’ kan worden hersteld die diefstal bewijst –  maar die niet in reguliere uitvoer van het model verschijnt.

Het gewicht van het bewijs

De laatste benadering wordt behandeld in een interessante nieuwe samenwerking tussen China, Italië en Singapore; een werk dat ertoe strekt een dergelijke openbaarmakingsmethode te bieden aan open source-modellen, zodat deze niet gemakkelijk kunnen worden gecommercialiseerd of op andere manieren gebruikt die niet zijn toegestaan door de oorspronkelijke licentie.

Om bijvoorbeeld een model dat oorspronkelijk onder een licentie valt die vereist dat iedereen die van het werk profiteert, zijn eigen wijzigingen of aanpassingen openbaar maakt onder dezelfde royale licentievoorwaarden – maar een bedrijf kan proberen zijn ‘aanpassingen’ (zoals fijn afgestemde versies) te beschermen om een moeras te creëren waar dat niet is toegestaan.

De meeste onderzoeken op dit gebied zijn gericht op detectieroutines die verband houden met gesloten bron, API-only-modellen of modellen waarvoor alleen geoptimaliseerde (gekwantiseerde) gewichten beschikbaar zijn; en die daarom moeilijker zijn om efficiënt te bewerken en aan te passen op de manier die het nieuwe artikel voorstelt (omdat er geen directe toegang is tot de architectuur van het model zelf).

Deze aandacht voor FOSS-releases is, misschien, niet verwonderlijk vanuit het Chinese onderzoekssector, aangezien China’s AI-uitvoer het afgelopen jaar is gemarkeerd door royale volledige releases van modellen die ten minste gelijkwaardig zijn aan de meer ‘opgesloten’ westerse equivalenten.

De nieuwe benadering, getiteld EditMark, onderscheidt zich door niet te vereisen dat het model fijn wordt afgestemd om de ‘vergiftigde’ gegevens toe te voegen, noch getraind vanaf het begin met de gegevens die zijn opgenomen.

Dit heeft verschillende voordelen: één is dat eventuele ‘kenmerkende’ gegevens die in de trainingsdataset zijn opgenomen, zodra ze zijn ontdekt en bekendgemaakt, niet langer effectief zullen zijn, omdat ze rechtstreeks door aanvallers kunnen worden aangepakt; maar om EditMark aan te vallen, zou een kwaadwillige partij moeten weten welke laag van het model moet worden aangepakt en welke aanpak moet worden gevolgd. Dit is een onwaarschijnlijke scenario.

Ten tweede is de benadering snel en goedkoop, waarbij het slechts enkele seconden duurt (in plaats van dagen of zelfs weken) om toe te passen op een getraind model, waardoor de ernstige kosten van fijn afstemmen (die lineair toenemen met de grootte van het model en de gegevens die moeten worden toegepast) worden geëlimineerd.

Ten slotte doet de benadering aanzienlijk minder schade aan de normale werking van het doelmodel dan zowel fijn afstemmen als eerdere bewerkingsmethoden.

In tests heeft EditMark – die wiskundige vragen met meerdere mogelijke antwoorden in de modelgewichten embedt – een extractieratio van 100% behaald.

De auteurs verklaren:

‘Uitgebreide experimenten demonstreren de uitzonderlijke prestaties van EditMark bij het watermerken van LLM’s. EditMark bereikt opmerkelijke efficiëntie door een 32-bit watermerk in minder dan 20 seconden te embedden met een 100% watermerk-extractiesuccesratio (ESR).

‘Opvallend is dat de tijd die nodig is om het watermerk te embedden minder dan 1/300 van de tijd is die nodig is voor fijn afstemmen (gemiddeld 6.875 seconden), wat de effectiviteit van EditMark onderstreept bij het implementeren van watermerken met hoge capaciteit en ongekende snelheid en betrouwbaarheid.

‘Bovendien bevestigen uitgebreide experimenten de robuustheid, heimelijkheid en geloofwaardigheid van EditMark.’

Het nieuwe artikel is getiteld EditMark: Watermarking Large Language Models op basis van Model Editing, en komt van acht auteurs uit de University of Science and Technology of China, de University of Siena en CFAR/IHPC/A*STAR in Singapore.

Methode

De EditMark-benadering bestaat uit vier componenten: een Generator, een Encoder, een Editor en een Decoder:

De EditMark-pijplijn embedt een watermerk door een model te bewerken om specifieke wiskundige vragen te beantwoorden op een manier die verborgen identificerende informatie codeert. Bron: https://arxiv.org/pdf/2510.16367

De Generator gebruikt een pseudo-willekeurige seed om meerdere-antwoord-wiskundevragen te construeren; de Encoder selecteert antwoorden op basis van het watermerk, die vervolgens in het model worden geëmbed via een gespecialiseerd bewerkingsproces. Zodra het bewerkte model is vrijgegeven of misbruikt, kan het watermerk worden geëxtraheerd door dezelfde vragen te stellen en het patroon van antwoorden te decoderen.

Vervolgens past de Editor het modelgewicht aan zodat, wanneer de gezaaide vragen worden gesteld, het model betrouwbaar de doelantwoorden produceert, waardoor het watermerk rechtstreeks in zijn gedrag wordt geëmbed. De Decoder herstelt vervolgens het watermerk door dezelfde vragen aan het verdachte model te stellen en zijn antwoorden terug te vertalen naar het verborgen signaal.

Bedreigingsmodel

Het artikel gaat ervan uit dat het watermerken in een white-box-omgeving wordt gedaan. Hoewel dit meestal geen goed teken is in onderzoek naar beveiliging, is dit hier normaal, omdat de methode ertoe strekt de eigenaren te beschermen die toegang hebben tot hun eigen werk.

De aanvaller wordt ook verondersteld white-box-toegang te hebben nadat hij het model heeft verkregen, wat betekent dat hij het kan bewerken (bijv. door te snoeien of fijn af te stemmen). Opnieuw is dit scenario normaal en verwacht in het geval van een FOSS-release. Echter, de aanvaller is niet op de hoogte van het watermerk-extractieproces of het schema dat wordt gebruikt, en kan dit alleen ontdekken door inferentie en experimenten (of anderszins, lekken).

De Generator construeert logisch en feitelijk valide wiskundevragen met meerdere correcte antwoorden, met behulp van GPT-4o om sjablonen te diversifiëren (zoals hieronder weergegeven), en een pseudo-willekeurige seed om ervoor te zorgen dat elke vraag uniek is. Dit maakt het mogelijk om een bekend watermerk deterministisch in te bedden via antwoordpermutaties, terwijl de overlap tussen vragen wordt geminimaliseerd, om te voorkomen dat bewerkingen verstrengeld raken:

Sjablonen van vragen gegenereerd door GPT-4o voor watermerk-embedding, elk gestructureerd om meerdere geldige integer-antwoorden van een gezaaide ongelijkheid op te leveren.

De Encoder transformeert elk binaire watermerksegment in een unieke permutatie van integers die zijn afgeleid van de oplossingsverzameling van een bepaalde wiskundevraag. Met behulp van lexicografische permutatietheorie kaart de Encoder de decimale waarde van elk watermerksegment naar een specifieke geordende selectie van antwoorden, waardoor het watermerk deterministisch in het gedrag van het model wordt geëmbed.

Wat betreft de Editor, ontbreekt het aan de oorspronkelijke AlphaEdit model-bewerkingsmethode die voor watermerken wordt gebruikt, zowel precisie als veerkracht, waarbij het aangepaste model vaak faalt om de vereiste antwoorden te retourneren. Eventuele veranderingen die het wel aanbrengt, zijn gemakkelijk te breken door snoeien of ruis.

Om dit te overwinnen, hebben de auteurs een multi-rondes bewerkingsstrategie ontwikkeld die het modelgewicht geleidelijk aanpast bij een enkele MLP-laag totdat zijn antwoorden voldoende zijn afgestemd op de gewenste antwoorden, waardoor het watermerk rechtstreeks in zijn gedrag wordt geëmbed. De Decoder herstelt vervolgens het watermerk door dezelfde vragen aan het verdachte model te stellen en zijn antwoorden terug te vertalen naar het verborgen signaal.

Verdeling van veranderingen in K1 voor Baichuan-7B, Qwen-7B en LLaMA3-8B voor en na aanvallen. De bovenste rij toont het effect van willekeurige ruisinjectie; de onderste rij toont het effect van model-snoeiing. Alle veranderingen blijven dicht bij nul, wat aangeeft dat de aanvallen de interne werking van het model niet significant verstoren.

Een scoresysteem stopt het proces zodra de bewerkingen nauwkeurig genoeg zijn, terwijl regularisatie ervoor zorgt dat updates stabiel blijven over meerdere ronden.

De Decoder stelt het model dezelfde speciale vragen die tijdens het watermerken werden gesteld, en leest zijn antwoorden om het verborgen ID af te leiden. Aangezien het patroon van antwoorden een geheime regel volgt, kan dit ID worden hersteld zonder dat het nodig is om de interne werking van het model te onderzoeken.

Gegevens en tests

Om EditMark te testen, werden vijf LLM’s geëvalueerd: GPT2-X; GPT-J-6B; LLaMA-3-8B; Baichuan-7B; en Qwen-7B. De eerdergenoemde AlphaEdit werd gebruikt om watermerken in te bedden, terwijl de extractiesuccesratio (ESR) en de embedtijd (ET) de gebruikte metrics waren.

Als referentiepunten kozen de auteurs Model Watermark (backdoor); KIMark; en BadEdit, een framework dat oorspronkelijk was ontworpen voor backdoor-injectie, maar hier werd aangepast voor de doeleinden van het project.

De auteurs bewerkten de 15e laag van LLaMA-3-8; de 17e van GPT2-XL en GPT-J-6B; en de 14e van Qwen-7B en Baichuan-7B.

De experimenten werden uitgevoerd op vier NVIDIA RTX 4090 GPU’s (24 GB VRAM elk), met watermerken van 32-bit, 64-bit en 128-bit lengte ingebed. De vraag-sjablonen die werden gebruikt, worden hieronder weergegeven:

Sjablonen die worden gebruikt om meerdere-antwoord-vragen te genereren voor watermerken. Elke vraag is gebaseerd op een andere soort wiskundige ongelijkheid, met willekeurige waarden ingevoerd voor de variabelen. Het model wordt gevraagd om een lijst van integer-oplossingen te retourneren, waarbij de volgorde van de antwoorden wordt gebruikt om watermerk-bits in te bedden of te decoderen.

Om de effecten van toeval te reduceren, werden zaden van 1 tot 20 toegepast tijdens het testen, over verschillende watermerkcapaciteiten.

Aanvankelijk testten de onderzoekers zowel ESR als tijdskosten bij het embedden van een watermerk over het bereik van LLM’s:

Vergelijking van EditMark met drie eerdere watermerkmethoden op vijf grote taalmodellen. De extractiesuccesratio (ESR) en de embedtijd (ET) in seconden worden gerapporteerd.

Van deze resultaten verklaren de auteurs:

‘[EditMark] bereikt een 100% ESR en vereist minder dan 20 seconden om een 32-bit watermerk in te bedden voor alle geëvalueerde LLM’s. In het bijzonder is de gemiddelde embedtijd voor Baichuan-7B en Qwen-7B minder dan 10 seconden, wat de hoge efficiëntie van EditMark aantoont.’

Voor de evaluatie van een 128-bit watermerk, de hoogste waarde die onder een dergelijk schema haalbaar is, kon EditMark een status van ‘onuitwisbaarheid’ behouden:

Extractiesuccesratio’s en embedtijden voor EditMark over watermerklengtes van 32, 64 en 128 bits op vijf taalmodellen. Perfecte succesratio’s worden in alle gevallen behaald, terwijl de embedtijd toeneemt met de watermerkgrootte, maar blijft onder één minuut, zelfs bij 128 bits.

Vervolgens werd de mogelijkheid van het systeem om de watermerktrouw te behouden getest over meerdere benchmarks:

Evaluatie van watermerktrouw op vier benchmarks over vijf modellen, waarbij ongewijzigde modellen worden vergeleken met modellen die zijn voorzien van watermerken van 32-bit en 128-bit capaciteit.

EditMark’s veerkracht werd getest tegen zes veelvoorkomende aanvalsstrategieën. De modellen werden eerst voorzien van 128-bit watermerken met behulp van vijf verschillende zaden. Fijn afstemmen, zoals te zien is in de afbeelding hieronder, veroorzaakte slechts een geringe achteruitgang in de extractiesuccesratio (ESR) voor de meeste modellen:

Extractiesuccesratio (ESR) van watermerkmodellen voor en na fijn afstemmen voor één tot drie epochs. Terwijl de meeste modellen een hoge ESR behouden, toont Qwen-7B een opvallende daling, wat een grotere kwetsbaarheid voor parameterupdates aangeeft.

Selfs na meerdere epochs behielden de meeste modellen ESR’s boven de 90%, wat aangeeft dat EditMark de parameterdrift die wordt geïntroduceerd door LoRA-gebaseerde training weerstaat.

Kwantiseringsaanvallen verlaagden de modelprecisie, maar lieten de meeste watermerken intact:

Extractiesuccesratio (ESR) van watermerkmodellen voor en na kwantiseren met Int-8 en Int-4 precisie. De ESR blijft ongewijzigd onder Int-8 kwantiseren over alle modellen, terwijl Int-4 kwantiseren een gedeeltelijke achteruitgang veroorzaakt, wat aangeeft dat lagere precisie de watermerksterkte kan verzwakken, maar niet volledig verwijderen.

Modelbewerking en adaptieve aanvallen werden ook geëvalueerd:

Extractiesuccesratio van watermerkmodellen die zijn onderworpen aan verschillende gradaties van modelbewerking. Zelfs met tot vijftig bewerkingen toegepast op bekende watermerklagen, blijft de ESR boven de 95% voor alle modellen, wat aangeeft dat directe parameterwijzigingen een beperkt effect hebben op watermerkverwijdering.

Hier behield EditMark meer dan 95% ESR, zelfs toen de exacte embedlaag werd aangevallen.

Conclusie

DRM, geheime watermerken en andere beveiligingsbenaderingen die in de pre-AI-tijdperk (beperkt of gedeeltelijk) succes hebben behaald, zijn moeilijk toe te passen op machine learning-systemen; de intentioneel reductionistische aard van het huidige bereik van hostarchitecturen combineert met een gebrek aan geschikte tooling, waardoor ingevoegde watermerken vrij kwetsbaar zijn.

Het is indrukwekkend om een systeem te zien dat gericht is op FOSS-modeldistributie, en om te zien dat het alle scenario’s doorstaat, behalve de meest onwaarschijnlijke, in termen van de kennis die een aanvaller nodig heeft. Niettemin kan de zeer geringe daling in prestaties die optreedt bij post-training bewerkingen, hoe klein ook in deze experimenten, potentiële adoptanten aanleiding geven om te aarzelen; niet in de laatste plaats omdat terugtrekken naar een API-gecentreerde model van controle dergelijke aanvallen vrijwel geheel voorkomt.

* Deze site heeft betoogd dat ‘open weight’-releases uit China niet noodzakelijk kwalificeren als volledig FOSS, omdat gegevens vaak worden achtergehouden, wat de exacte recreatie van de trainingspijplijn verhindert. Het is redelijk om te stellen dat dit onderwerp een diepere blik rechtvaardigt op de politiek van AI-modelreleases, vergeleken tussen het westen en het oosten, wat buiten het bereik van dit artikel valt.

Publicatie op maandag 27 oktober 2025