Визначення крадіжки моделей штучного інтелекту через секретні дані відстеження

Новий метод може потай watermark моделі типу ChatGPT за кілька секунд без повторної навчання, не залишаючи жодного сліду в загальному виводі та витримуючи всі можливі спроби видалення.

Ніжна різниця між watermarking і “copyright-baiting” полягає в тому, що водяні знаки – як явні, так і приховані – зазвичай призначені з’являтися по всьому збору (наприклад, наборі зображень) як універсальна перешкода для випадкового копіювання.

Натомість, фіктивний запис – це малий сегмент тексту, зазвичай слово або визначення, представлені в великій і відносно загальній колекції, призначені для доведення крадіжки. Ідея полягає в тому, що коли вся робота копіюється незаконно, або сама по собі, або як основа для похідної роботи, присутність “унікального” і сфабрикованого факту, посадженого оригінальними власниками, легко доведе акт крадіжки.

Відносно додавання водяних знаків до великих мовних моделей (LLM) і моделей мови та зору (VLM), ступінь, в якій вивід повинен містити ці ознаки, часто розділяється між цими двома цілями: забезпечити, щоб весь або більшість виводу містили явний або латентний водяний знак; або забезпечити, щоб “секретний токен” міг бути відновлений, який доводить крадіжку – але який не з’являється в регулярному виводі моделі.

Вага(и) доказів

Останній підхід розглядається в цікавому новому співробітництві між Китаєм, Італією та Сінгапуром; робота, яка має на меті надати такий метод відкритим моделям, щоб вони не могли легко бути комерціалізовані або використані іншими способами, які не дозволяються оригінальною ліцензією.

Наприклад, оригінальна ліцензія моделі може вимагати, щоб будь-хто міг отримувати прибуток від роботи,只要 вони роблять свої власні зміни або доповнення доступними публічно під тією ж щедрою ліцензією – але компанія може бажати зберегти свої “доопрацювання” (наприклад, доопрацьовані версії), щоб створити розваду, де жодної немає.

Більшість досліджень в цьому напрямку зайнята процедурами виявлення, пов’язаними з закритими моделями, доступними лише через API, або моделями, для яких доступні лише оптимізовані (квантовані) ваги; і які, отже, більш складні для ефективного редагування та зміни тим способом, який пропонує нова робота (оскільки немає прямого доступу до архітектури моделі).

Ця увага до випусків FOSS, можливо, не дивна для китайського дослідницького сектора, оскільки китайський випуск штучного інтелекту за останні рік був відзначений щедрими повноваговими* випусками моделей, які принаймні дорівнюють більш “закритим” західним еквівалентам.

Новий підхід, названий EditMark, відрізняється тим, що не вимагає ні того, щоб модель була доопрацьована для додавання “отруєних” даних, ні навчена з самого початку з даними, включеними в неї.

Це має кілька переваг: одна з них полягає в тому, що будь-які “відмінні” дані, включені в набір даних для навчання, як тільки вони будуть виявлені та розкриті, більше не будуть ефективними, оскільки їх можна буде безпосередньо атакувати; але щоб атакувати EditMark, зловмисник повинен знати, який шар моделі атакувати, і який підхід застосувати. Це малоймовірний сценарій.

Друга перевага полягає в тому, що підхід швидкий і дешевий, займає лише кілька секунд (а не днів або навіть тижнів) для застосування до навченої моделі, усуваючи серйозні витрати на доопрацювання (які збільшуються лінійно з розміром моделі та даними, які потрібно застосувати).

Нарешті, підхід робить значно менше шкоди нормальній роботі моделі, ніж доопрацювання або попередні методи редагування.

У тестах EditMark – який вкладає математичні запитання з декількома можливими відповідями в ваги моделі – досягнув витягування на 100%.

Автори заявляють:

‘Комплексні експерименти демонструють виняткову продуктивність EditMark у водяних знаках LLM. EditMark досягає видатної ефективності, вкладаючи 32-бітовий водяний знак менш ніж за 20 секунд з успішністю витягування водяного знака 100% (ESR).

‘Помітно, час вкладання водяного знака становить менше 1/300 доопрацювання (в середньому 6 875 секунд), що підкреслює ефективність EditMark у реалізації водяних знаків високої ємності з безпрецедентною швидкістю та надійністю.

‘Крім того, обширні експерименти підтверджують стійкість, секретність та вірність EditMark.’

Нова робота названа EditMark: Водяні знаки великих мовних моделей на основі редагування моделі, і виходить від восьми авторів з Університету науки і технологій Китаю, Університету Сієнни та CFAR/IHPC/A*STAR у Сінгапурі.

Метод

Підхід EditMark складається з чотирьох компонентів: Генератора, Кодувальника, Редактора та Декодера:

Потік EditMark вкладає водяний знак, редагуючи модель для відповіді на спеціальні математичні запитання, які кодують приховану ідентифікаційну інформацію. Джерело: https://arxiv.org/pdf/2510.16367

Генератор використовує псевдовипадковий посів для побудови математичних запитань з декількома відповідями; Кодувальник вибирає відповіді на основі водяного знака, які потім вкладаються в модель за допомогою спеціалізованого процесу редагування. Як тільки відредагована модель випускається або використовується неправильно, водяний знак можна витягнути, запитавши ті ж запитання та декодуючи шаблон відповідей.

Потім Редактор змінює ваги моделі так, щоб при запитанні цих посіяних запитань модель надійно продукувала цільові відповіді, вкладаючи водяний знак безпосередньо в її поведінку. Декодер потім відновлює водяний знак, запитавши ті ж запитання до підозрюваної моделі та перекладаючи її відповіді назад у приховану сигнатуру.

Модель загроз

Модель загроз у роботі припускає, що водяні знаки вкладаються у білій коробці. Хоча це зазвичай не добрий знак у дослідженнях, пов’язаних з безпекою, тут це нормально, оскільки метод спрямований на захист власників, які мають повний доступ до своєї роботи.

Атакувальник також припускається, що має білу коробку після отримання моделі, тобто може змінити її (наприклад, обрізавши або доопрацювавши). Знову ж таки, цей сценарій нормальний і очікуваний у разі випуску FOSS. Однак атакувальник не знає процесу витягування водяного знака або схеми, яку використовують, і може знайти цей метод лише шляхом висновку та експериментів (або витоків).

Генератор будує логічно і фактично валідні математичні запитання з декількома правильними відповідями, використовуючи GPT‑4o для диверсифікації шаблонів (як показано нижче), і псевдовипадковий посів, щоб забезпечити унікальність кожного запитання. Це дозволяє відомому водяному знаку бути вкладеним детерміновано через пермутації відповідей, мінімізуючи перекриття між запитаннями, щоб уникнути редагування заплутування:

Шаблони запитань, згенеровані GPT‑4o для вкладання водяного знака, кожен структурований для отримання декількох валідних цілочисельних відповідей з посіяної нерівності.

Кодувальник перетворює кожен двійковий сегмент водяного знака в унікальну пермутацію цілих чисел, вибраних з множини рішень даного математичного запитання. Використовуючи лексикографічну теорію пермутацій, Кодувальник відображає десяткове значення кожного сегмента водяного знака на специфічну впорядковану вибірку відповідей, забезпечуючи, щоб водяний знак був детерміновано вкладений у поведінку моделі.

Відносно редактора, оригінальний AlphaEdit метод редагування моделі для водяних знаків не має точності та стійкості, з зміненою моделлю, яка часто не повертає потрібні відповіді. Будь-які зміни, які він робить, легко перервані обрізанням або шумом.

Щоб подолати це, автори розробили стратегію багаторундевого редагування, яка поступово змінює ваги моделі на одному шарі MLP до тих пір, поки її відповіді не будуть достатньо узгоджені з бажаними відповідями. Щоб зміцнити редагування проти порушення, вони також вводять гауссовий шум під час навчання, щоб симулювати атаки:

Розподіл змін в K1 для Baichuan-7B, Qwen-7B і LLaMA3-8B до та після атак. Верхній ряд показує вплив випадкового введення шуму; нижній ряд показує вплив обрізання моделі. Всі зміни залишаються близькими до нуля, що свідчить про те, що атаки не суттєво порушують внутрішню поведінку моделі.

Система оцінювання зупиняє процес, коли редагування достатньо точні, тоді як регуляризація забезпечує стабільність оновлень протягом кількох раундів.

Декодер запитує модель ті ж спеціальні запитання, які використовувалися під час вкладання водяного знака, потім читає її відповіді, щоб вивести приховану ідентифікатор. Оскільки шаблон відповідей слідує секретній правилу, цей ідентифікатор можна відновити без необхідності вивчати внутрішню структуру моделі.

Дані та тести

Щоб протестувати EditMark, було оцінено п’ять LLM: GPT2-X; GPT-J-6B; LLaMA-3-8B; Baichuan-7B; і Qwen-7B. Використовувався згаданий вище AlphaEdit для вкладання водяних знаків, тоді як витягування успішності (ESR) і час вкладання (ET) були прийняті як метрики.

Для базових ліній автори обрали Model Watermark (бекдор); KIMark; і BadEdit, фреймворк, спочатку розроблений для ін’єкції бекдорів, тут адаптований для цілей проекту.

Автори відредагували 15-й шар LLaMA-3-8; 17-й шар GPT2-XL і GPT-J-6B; і 14-й шар Qwen-7B і Baichuan-7B.

Експерименти проводилися на чотирьох графічних процесорах NVIDIA RTX 4090 (по 24 ГБ відеопам’яті кожний), з водяними знаками довжиною 32 біти, 64 біти та 128 біт, вкладеними в них. Шаблони запитань, використані для генерації, деталізовані на зображенні нижче:

Шаблони, використані для генерації запитань з декількома відповідями для вкладання водяного знака. Кожне запитання базується на різному типу математичної нерівності, з випадковими значеннями, вставленими для змінних. Модель запитується про повернення списку цілочисельних рішень, з порядком відповідей, використовуваним для кодування або декодування бітів водяного знака. Чотири шаблони охоплюють квадратичні, логарифмічні, раціональні та інтервальні форми, і всі вони були згенеровані за допомогою GPT-4o.

Щоб зменшити вплив випадковості, посіви від 1 до 20 застосовувалися під час тестування, по-різному для різних місткості водяного знака.

Спочатку дослідники протестували як ESR, так і часові витрати на вкладання водяного знака по всьому діапазону LLM:

Порівняння EditMark з трьома попередніми методами водяних знаків на п’яти великих мовних моделях. Зазначені витягування успішності (ESR) і час вкладання (ET) у секундах. EditMark постійно досягає 100% успішності, скорочуючи час вкладання на кілька порядків, перевершуючи всі базові лінії як за точністю, так і за ефективністю по моделям різного розміру та архітектури.

З цих результатів автори заявляють:

‘[EditMark] досягає 100% ESR і потребує менше 20 секунд для вкладання 32-бітового водяного знака для всіх оцінених LLM. Зокрема, середній час вкладання для Baichuan-7B і Qwen-7B становить менше 10 секунд, що демонструє високу ефективність EditMark.’

Для оцінки 128-бітового водяного знака, найбільшого значення, яке можна реалізувати за допомогою такого схеми, EditMark зміг зберегти статус “незнищенності”:

Витягування успішності і час вкладання для EditMark по довжині водяного знака 32, 64 і 128 біт на п’яти мовних моделях. Ідеальна успішність зберігається в усіх випадках, тоді як час вкладання збільшується з розміром водяного знака, але залишається менше однієї хвилини, навіть на рівні 128 біт.

Далі була протестована здатність системи зберегти вірність водяного знака по декільком бенчмарках:

Оцінка вірності водяного знака на чотирьох бенчмарках по п’яти моделях, порівнюючи не змінені моделі з моделями з водяним знаком місткості 32 біти і 128 біт. Продуктивність залишається стабільною по всіх конфігураціях, з лише незначними коливаннями середніх оцінок, що свідчить про обмежений вплив вкладання водяного знака на точність бенчмарка.

EditMark витримав шість загальних стратегій атак. Моделі спочатку вкладали 128-бітові водяні знаки за допомогою п’яти різних посівів. Доопрацювання, як показано на зображенні нижче, спричинило лише незначне погіршення витягування успішності (ESR) для більшості моделей:

Витягування успішності водяного знака моделей з водяним знаком до та після доопрацювання за один до трьох епох. Хоча більшість моделей зберігають високу ESR протягом усього процесу, Qwen-7B демонструє помітне зниження, свідчачи про більшу вразливість до оновлень параметрів.

Дажи після кількох епох, більшість моделей зберегли ESR вище 90%, свідчачи про те, що EditMark витримує дрейф параметрів, введений тренуванням LoRA.

Атаки кванталізації знизили точність моделі, але залишили більшість водяних знаків цілими:

Витягування успішності водяного знака моделей з водяним знаком до та після кванталізації з точністю Int‑8 і Int‑4. ESR залишається незмінним під кванталізацією Int‑8 по всіх моделях, тоді як кванталізація Int‑4 спричиняє часткове погіршення, свідчачи про те, що нижча точність може ослабити, але не повністю видалити водяний знак.

Як ми бачимо на зображенні вище, кванталізація Int-8 зберегла 100% ESR по всіх моделях, тоді як кванталізація Int-4 мала помірний вплив на ESR, але ввела неприпустимі втрати продуктивності.

Як зазначено в роботі, цей конкретний сценарій свідчить про обмежений потенціал для атакувальника, оскільки це призводить до моделі, яка була скомпрометована, але має погіршену продуктивність.

Тести на шум і обрізання оцінювали чотири бенчмаркові фреймворки: MMLU; BLIMP; TruthfulQA; і GLUE. Ці атаки призвели до зниження ESR при посиленні порушень:

Ефект атак шуму (верхній ряд) і обрізання (нижній ряд) на ESR і продуктивність моделей з водяним знаком. При зниженні ESR продуктивність також погіршується, особливо при високих інтенсивностях шуму і співвідношенні обрізання, підкреслюючи (звичайну) напруженість між видаленням водяного знака і корисністю моделі.

Однак ці атаки також спричинили різке зниження продуктивності завдання, з Baichuan-7B, яка отримала зниження на 27-31% на BLIMP при застосуванні шуму або обрізання.

Редагування моделі та адаптивні атаки також були оцінені:

Витягування успішності моделей з водяним знаком, які піддаються різним ступеням редагування моделі. Дажи з до 50 редагувань, застосованих до відомих шарів водяного знака, ESR залишається вище 95% для всіх моделей, свідчачи про те, що прямої зміни параметрів мають обмежений вплив на видалення водяного знака.

Тут EditMark зберіг понад 95% ESR, навіть коли цільові шари вкладання були націлені.

Висновок

Управління цифровими правами (DRM), секретні водяні знаки та інші підходи безпеки, які мали певний успіх у доштучно-інтелектуальній епохі, важко застосовувати до систем машинного навчання; свідомо редукціоністська природа поточного діапазону архітектур господаря поєднується з відсутністю відповідних інструментів, що робить будь-які вкладені водяні знаки досить крихкими.

Вражає те, що система спрямована на розповсюдження моделей FOSS, і те, що вона витримує проти всіх сценаріїв, крім найбільш малоймовірних, щодо попередніх знань атакувальника. Тим не менш, незначне зниження продуктивності, яке супроводжує редагування після навчання, хоча воно і незначне в цих експериментах, може дати потенційним приймачам підстави для паузи; не в останню чергу тому, що відступ до моделі, орієнтованої на API, контролю майже повністю усуває такі атаки.

* Цей сайт стверджував, що ‘відкриті ваги’ випуски з Китаю не обов’язково кваліфікуються як повністю FOSS, оскільки дані часто утримуються, що перешкоджає точній рекреації трубопроводу навчання. Сумнівно, ця тема запрошує глибше дослідження політики випусків моделей штучного інтелекту, порівнянної між заходом і сходом, що виходить за рамки цієї статті.

Перша публікація понеділка, 27 жовтня 2025 року