Xác định việc trộm cắp mô hình AI thông qua dữ liệu theo dõi bí mật

Một phương pháp mới có thể bí mật gắn watermark vào các mô hình giống ChatGPT trong vài giây mà không cần đào tạo lại, không để lại dấu vết trong đầu ra chung và tồn tại sau tất cả các nỗ lực loại bỏ có thể.

Sự khác biệt tinh tế giữa watermarking và ‘bẫy bản quyền’ là rằng watermark – dù rõ ràng hay ẩn – thường được thiết kế để xuất hiện trong suốt một bộ sưu tập (như một tập dữ liệu hình ảnh) như một chướng ngại vật đối với việc sao chép thông thường.

Ngược lại, một đoạn văn giả là một đoạn văn ngắn, thường là một từ hoặc một định nghĩa được giới thiệu trong một bộ sưu tập lớn và tương đối chung chung, được thiết kế để chứng minh việc trộm cắp. Ý tưởng là khi toàn bộ công việc bị sao chép bất hợp pháp, hoặc là cơ sở cho một tác phẩm phái sinh, thì sự hiện diện của một ‘sự kiện’ hoặc ‘sự kiện giả’ độc nhất và được tạo ra bởi chủ sở hữu ban đầu, sẽ dễ dàng tiết lộ hành vi trộm cắp.

Về việc thêm watermark vào các mô hình ngôn ngữ lớn (LLM) và mô hình ngôn ngữ tầm nhìn (VLM), mức độ mà đầu ra được thiết kế để chứa các dấu hiệu này thường được chia thành hai mục đích: để đảm bảo rằng tất cả hoặc hầu hết đầu ra chứa một watermark rõ ràng hoặc tiềm ẩn; hoặc để đảm bảo rằng một ‘token bí mật’ có thể được thu hồi, chứng minh việc trộm cắp – nhưng không xuất hiện trong đầu ra thông thường của mô hình.

Trọng lượng (các) của Bằng chứng

Phương pháp sau đây được đề cập trong một hợp tác thú vị giữa Trung Quốc, Ý và Singapore; một công việc nhằm cung cấp một phương pháp tiết lộ như vậy cho mô hình mã nguồn mở, để chúng không thể dễ dàng được thương mại hóa hoặc sử dụng theo cách mà giấy phép ban đầu không cho phép.

Ví dụ, giấy phép ban đầu của một mô hình có thể yêu cầu bất kỳ ai lợi nhuận từ công việc phải làm cho các sửa đổi hoặc bổ sung của họ công khai theo cùng các điều khoản giấy phép hào phóng – nhưng một công ty có thể muốn giữ lại ‘sửa đổi’ của họ (như phiên bản tinh chỉnh), để tạo ra một ‘hào’ nơi không có thực sự được phép.

Hầu hết nghiên cứu trong lĩnh vực này tập trung vào các quy trình phát hiện liên quan đến các mô hình chỉ có API, hoặc các mô hình mà chỉ có đã được lượng tử hóa (quantized) trọng số có sẵn; và do đó khó chỉnh sửa và thay đổi theo cách đề xuất trong bài báo mới (vì không có quyền truy cập trực tiếp vào kiến trúc của mô hình).

Sự quan tâm đến việc phát hành mã nguồn mở là có thể, có lẽ, từ lĩnh vực nghiên cứu Trung Quốc, vì đầu ra AI của Trung Quốc trong năm qua đã được đánh dấu bằng việc phát hành đầy đủ mô hình có thể so sánh với các mô hình phương Tây ‘khóa’ hơn.

Phương pháp mới, được gọi là EditMark, khác biệt ở chỗ nó không yêu cầu mô hình phải được tinh chỉnh để thêm ‘dữ liệu bị nhiễm độc’ hoặc được đào tạo từ đầu với dữ liệu được bao gồm.

Điều này có một số lợi thế: một là, bất kỳ ‘dấu vết’ nào được thêm vào tập dữ liệu đào tạo, một khi được phát hiện và tiết lộ, sẽ không còn hiệu quả, vì nó có thể bị nhắm mục tiêu trực tiếp bởi những kẻ tấn công; nhưng để tấn công EditMark, một kẻ tấn công sẽ cần biết lớp nào của mô hình để nhắm mục tiêu và loại tiếp cận nào đã được thực hiện. Đây là một kịch bản không thể xảy ra.

Thứ hai, phương pháp này nhanh và rẻ, chỉ mất vài giây (so với vài ngày hoặc thậm chí vài tuần) để áp dụng cho một mô hình đã được đào tạo, loại bỏ chi phí lớn của việc tinh chỉnh (điều này tăng tuyến tính với kích thước của mô hình và dữ liệu được áp dụng).

Cuối cùng, phương pháp này gây ít tổn hại cho hoạt động bình thường của mô hình mục tiêu so với tinh chỉnh hoặc các phương pháp chỉnh sửa trước đó.

Trong các thử nghiệm, EditMark – gắn các truy vấn toán học với nhiều câu trả lời có thể vào trọng số của mô hình – đạt được tỷ lệ trích xuất 100%.

Các tác giả tuyên bố:

‘Thử nghiệm toàn diện chứng minh hiệu suất đặc biệt của EditMark trong việc gắn watermark vào các mô hình ngôn ngữ lớn. EditMark đạt được hiệu suất đáng chú ý bằng cách gắn một watermark 32 bit trong ít hơn 20 giây với tỷ lệ trích xuất watermark thành công 100%.

‘Đáng chú ý, thời gian gắn watermark ít hơn 1/300 so với tinh chỉnh (trung bình 6.875 giây), điều này nhấn mạnh hiệu quả của EditMark trong việc thực hiện các watermark có dung lượng cao với tốc độ và độ tin cậy chưa từng có.

‘Ngoài ra, các thử nghiệm rộng rãi xác nhận độ bền, tính bí mật và tính trung thực của EditMark.’

Bài báo mới mới có tiêu đề EditMark: Gắn watermark vào các mô hình ngôn ngữ lớn dựa trên chỉnh sửa mô hình, và đến từ tám tác giả trên khắp Đại học Khoa học và Công nghệ Trung Quốc, Đại học Siena và CFAR/IHPC/A*STAR tại Singapore.

Phương pháp

Phương pháp EditMark bao gồm bốn thành phần: một Trình tạo, một Mã hóa, một Trình chỉnh sửa và một Trình giải mã:

Dòng công việc EditMark gắn watermark bằng cách chỉnh sửa mô hình để trả lời các câu hỏi toán học cụ thể theo cách mã hóa thông tin nhận dạng ẩn. Nguồn: https://arxiv.org/pdf/2510.16367

Trình tạo sử dụng một hạt giống ngẫu nhiên để xây dựng các câu hỏi toán học có nhiều câu trả lời; Mã hóa chọn các câu trả lời dựa trên watermark, sau đó được gắn vào mô hình thông qua một quá trình chỉnh sửa chuyên dụng. Khi mô hình đã chỉnh sửa được phát hành hoặc bị lạm dụng, watermark có thể được trích xuất bằng cách hỏi các câu hỏi tương tự và giải mã mẫu câu trả lời.

Sau đó, Trình chỉnh sửa sửa đổi trọng số của mô hình để khi được hỏi các câu hỏi này, mô hình sẽ tạo ra các câu trả lời mục tiêu, gắn watermark trực tiếp vào hành vi của nó. Trình giải mã sau đó thu hồi watermark bằng cách cung cấp các câu hỏi tương tự cho mô hình nghi ngờ và dịch các câu trả lời của nó trở lại thành chữ ký ẩn.

Mô hình đe dọa

Mô hình đe dọa của bài báo giả định rằng gắn watermark được thực hiện trong một môi trường trắng. Mặc dù điều này không phải là một dấu hiệu tốt trong nghiên cứu liên quan đến bảo mật, nhưng ở đây, đây là bình thường, vì phương pháp này nhằm mục đích bảo vệ các chủ sở hữu có quyền truy cập đầy đủ vào công việc của họ.

Kẻ tấn công cũng được giả định có quyền truy cập trắng vào mô hình sau khi có được mô hình, có nghĩa là họ có thể sửa đổi nó (ví dụ bằng cách cắt tỉa hoặc tinh chỉnh). Một lần nữa, kịch bản này là bình thường và được mong đợi trong trường hợp phát hành mã nguồn mở. Tuy nhiên, kẻ tấn công không biết về quá trình trích xuất watermark hoặc sơ đồ được sử dụng và chỉ có thể tìm ra phương pháp này bằng suy luận và thử nghiệm (hoặc rò rỉ).

Trình tạo xây dựng các câu hỏi toán học hợp lệ và thực tế với nhiều câu trả lời, sử dụng GPT-4o để đa dạng hóa các mẫu (như minh họa dưới đây), và một hạt giống ngẫu nhiên để đảm bảo mỗi câu hỏi là duy nhất. Điều này cho phép một watermark được biết đến có thể được gắn định thông qua các phép đổi chỗ câu trả lời, trong khi tối thiểu hóa sự chồng chéo giữa các câu hỏi, để tránh đan xen chỉnh sửa:

Mẫu câu hỏi được tạo bởi GPT-4o để gắn watermark, mỗi câu hỏi được cấu trúc để tạo ra nhiều câu trả lời hợp lệ từ một bất đẳng thức có hạt giống.

Mã hóa chuyển đổi mỗi phân đoạn watermark nhị phân thành một phép đổi chỗ duy nhất của các số nguyên được rút ra từ tập hợp giải pháp của một câu hỏi toán học nhất định. Sử dụng lý thuyết hoán vị từ điển, Mã hóa ánh xạ giá trị thập phân của mỗi mảnh watermark đến một lựa chọn có thứ tự cụ thể của các câu trả lời, đảm bảo rằng watermark được gắn một cách xác định vào hành vi của mô hình.

Về phần chỉnh sửa, phương pháp chỉnh sửa mô hình AlphaEdit ban đầu được sử dụng để gắn watermark thiếu độ chính xác và độ bền, với mô hình chỉnh sửa thường không trả lại các câu trả lời cần thiết. Bất kỳ thay đổi nào nó đã thực hiện đều dễ bị phá vỡ bởi việc cắt tỉa hoặc nhiễu.

Để vượt qua điều này, các tác giả đã phát triển một chiến lược chỉnh sửa nhiều vòng, dần dần điều chỉnh trọng số của mô hình tại một lớp MLP cho đến khi phản hồi của nó được căn chỉnh đủ với các câu trả lời mục tiêu, gắn watermark trực tiếp vào hành vi của nó. Để làm cứng các chỉnh sửa chống lại sự thao túng, họ cũng tiêm tiếng ồn Gaussian trong quá trình đào tạo, để mô phỏng các cuộc tấn công:

Phân phối thay đổi trong K1 cho Baichuan-7B, Qwen-7B và LLaMA3-8B trước và sau các cuộc tấn công. Hàng trên cùng cho thấy hiệu ứng của việc tiêm tiếng ồn ngẫu nhiên; hàng dưới cùng cho thấy hiệu ứng của việc cắt tỉa mô hình. Tất cả các thay đổi vẫn gần bằng không, cho thấy rằng các cuộc tấn công không làm gián đoạn đáng kể hành vi nội bộ của mô hình.

Một hệ thống tính điểm dừng quá trình một khi các chỉnh sửa đủ chính xác, trong khi điều chỉnh đảm bảo các bản cập nhật vẫn ổn định trong nhiều vòng.

Trình giải mã hỏi mô hình các câu hỏi đặc biệt tương tự được sử dụng trong quá trình gắn watermark, sau đó đọc các câu trả lời của nó để suy ra chữ ký ẩn. Vì mẫu câu trả lời tuân theo một quy tắc bí mật, ID này có thể được thu hồi mà không cần phải kiểm tra nội bộ của mô hình.

Dữ liệu và Thử nghiệm

Để kiểm tra EditMark, năm mô hình ngôn ngữ lớn đã được đánh giá: GPT2-X; GPT-J-6B; LLaMA-3-8B; Baichuan-7B; và Qwen-7B. Phương pháp AlphaEdit đã được sử dụng để gắn watermark, trong khi tỷ lệ trích xuất thành công (ESR) và thời gian gắn watermark (ET) là các chỉ số được áp dụng.

Đối với các đường cơ sở, các tác giả đã chọn Model Watermark (cửa hậu); KIMark; và BadEdit, một khuôn khổ ban đầu được thiết kế cho việc tiêm cửa hậu, ở đây được điều chỉnh cho mục đích của dự án.

Các tác giả đã chỉnh sửa lớp thứ 15 của LLaMA-3-8; lớp thứ 17 của GPT2-XL và GPT-J-6B; và lớp thứ 14 của Qwen-7B và Baichuan-7B.

Các thí nghiệm được thực hiện trên bốn GPU NVIDIA RTX 4090 (mỗi GPU có 24GB VRAM), với các watermark 32 bit, 64 bit và 128 bit được gắn. Các mẫu câu hỏi được sử dụng được chi tiết trong hình ảnh dưới đây:

Mẫu câu hỏi được sử dụng để tạo ra các câu hỏi có nhiều câu trả lời cho việc gắn watermark. Mỗi câu hỏi dựa trên một loại bất đẳng thức toán học khác nhau, với các giá trị ngẫu nhiên được chèn vào các biến. Mô hình được yêu cầu trả lại một danh sách các giải pháp nguyên, với thứ tự của các câu trả lời được sử dụng để mã hóa hoặc giải mã các bit watermark. Bốn mẫu bao gồm các hình thức квадрат, logarit, hữu tỷ và dựa trên khoảng. Tất cả đều được tạo ra thông qua GPT-4o.

Để giảm tác động của sự ngẫu nhiên, các hạt giống từ 1 đến 20 đã được áp dụng trong quá trình thử nghiệm, trên các dung lượng watermark khác nhau.

Ban đầu, các nhà nghiên cứu đã kiểm tra cả ESR và chi phí thời gian trong việc gắn watermark trên phạm vi các mô hình ngôn ngữ lớn:

So sánh EditMark với ba phương pháp gắn watermark trước đó trên năm mô hình ngôn ngữ lớn. Báo cáo ESR và thời gian gắn watermark (ET) tính bằng giây. EditMark đạt được tỷ lệ trích xuất thành công 100% trong khi giảm thời gian gắn watermark vài bậc, vượt trội so với tất cả các đường cơ sở về độ chính xác và hiệu quả trên các mô hình có kích thước và kiến trúc khác nhau.

Trong số những kết quả này, các tác giả tuyên bố:

‘[EditMark] đạt được ESR 100% và yêu cầu ít hơn 20 giây để gắn một watermark 32 bit cho tất cả các mô hình ngôn ngữ lớn được đánh giá. Cụ thể, thời gian gắn watermark trung bình cho Baichuan-7B và Qwen-7B dưới 10 giây, chứng tỏ hiệu quả cao của EditMark.’

Đối với việc đánh giá một watermark 128 bit, giá trị cao nhất có thể trong một kế hoạch như vậy, EditMark đã có thể duy trì trạng thái ‘bất khả xâm phạm’:

Tỷ lệ trích xuất thành công và thời gian gắn watermark của EditMark trên các độ dài watermark 32, 64 và 128 bit trên năm mô hình ngôn ngữ. Tỷ lệ trích xuất thành công hoàn hảo được duy trì trong tất cả các trường hợp, trong khi thời gian gắn watermark tăng với kích thước watermark, nhưng vẫn dưới một phút, ngay cả ở 128 bit.

Tiếp theo, khả năng giữ nguyên watermark của hệ thống đã được kiểm tra trên nhiều điểm chuẩn:

Đánh giá tính trung thực của watermark trên bốn điểm chuẩn trên năm mô hình, so sánh các mô hình không được chỉnh sửa với các mô hình có watermark 32 bit và 128 bit. Hiệu suất vẫn ổn định trên các cấu hình, với chỉ những thay đổi nhỏ trong điểm số trung bình, cho thấy tác động hạn chế đến độ chính xác của điểm chuẩn từ việc chèn watermark.

Khả năng chống chịu của EditMark đã được kiểm tra chống lại sáu chiến lược tấn công phổ biến. Các mô hình đầu tiên đã được gắn watermark 128 bit bằng năm hạt giống khác nhau. Tinh chỉnh, như được minh họa trong hình ảnh dưới đây, chỉ gây ra sự suy giảm nhỏ trong tỷ lệ trích xuất thành công (ESR) cho hầu hết các mô hình:

Tỷ lệ trích xuất thành công (ESR) của các mô hình ngôn ngữ lớn có watermark trước và sau khi tinh chỉnh trong một đến ba kỷ. Trong khi hầu hết các mô hình vẫn giữ ESR cao trong suốt, Qwen-7B cho thấy sự suy giảm rõ rệt, cho thấy sự dễ bị tổn thương lớn hơn đối với các bản cập nhật tham số.

Ngay cả sau nhiều kỷ, hầu hết các mô hình vẫn giữ ESR trên 90%, cho thấy EditMark có khả năng chống lại sự trôi tham số được giới thiệu bởi đào tạo dựa trên LoRA.

Các cuộc tấn công lượng tử làm giảm độ chính xác của mô hình, nhưng để lại hầu hết các watermark nguyên vẹn:

Tỷ lệ trích xuất thành công (ESR) của các mô hình có watermark trước và sau khi lượng tử hóa sử dụng độ chính xác Int-8 và Int-4. ESR vẫn không thay đổi dưới lượng tử hóa Int-8 trên tất cả các mô hình, trong khi lượng tử hóa Int-4 gây ra sự suy giảm một phần, cho thấy rằng độ chính xác thấp hơn có thể làm suy yếu nhưng không loại bỏ hoàn toàn watermark.

Như chúng ta có thể thấy trong hình ảnh trên, lượng tử hóa Int-8 bảo tồn 100% ESR trên tất cả các mô hình, trong khi lượng tử hóa Int-4 có tác động vừa phải đến ESR, nhưng giới thiệu những tổn thất hiệu suất không thể chấp nhận được.

Như bài báo lưu ý, kịch bản này đặc biệt gợi ý khả năng tấn công hạn chế, vì điều này dẫn đến một mô hình bị tấn công nhưng hiệu suất giảm.

Các thử nghiệm về nhiễu và cắt tỉa đã đánh giá bốn khuôn khổ điểm chuẩn:

Hiệu ứng của các cuộc tấn công nhiễu (hàng trên cùng) và cắt tỉa (hàng dưới cùng) đối với ESR và hiệu suất điểm chuẩn của các mô hình có watermark. Khi ESR giảm với sự tăng cường nhiễu, độ chính xác của điểm chuẩn cũng suy giảm, đặc biệt là ở các mức độ nhiễu cao và tỷ lệ cắt tỉa, làm nổi bật sự (thông thường) căng thẳng giữa việc loại bỏ watermark và tính hữu ích của mô hình.

Tuy nhiên, các cuộc tấn công này cũng gây ra sự suy giảm mạnh trong hiệu suất nhiệm vụ, với Baichuan-7B nhận được một sự suy giảm 27-31% trên BLIMP khi nhiễu hoặc cắt tỉa được áp dụng.

Chỉnh sửa mô hình và các cuộc tấn công thích ứng cũng được đánh giá:

Tỷ lệ trích xuất thành công của các mô hình có watermark khi phải chịu các mức độ chỉnh sửa mô hình khác nhau. Ngay cả khi tới 50 chỉnh sửa được áp dụng cho các lớp watermark đã biết, ESR vẫn trên 95% cho tất cả các mô hình, cho thấy rằng các chỉnh sửa tham số trực tiếp có tác động hạn chế đến việc loại bỏ watermark.

Tại đây, EditMark duy trì trên 95% ESR, ngay cả khi các lớp watermark cụ thể được nhắm mục tiêu.

Kết luận

Quản lý quyền kỹ thuật số, watermark bí mật và các phương pháp bảo mật khác đã từng có (một mức độ thành công hạn chế hoặc một phần) trong thời đại trước AI là khó áp dụng cho các hệ thống học máy; bản chất giảm thiểu có chủ ý của phạm vi kiến trúc hiện tại kết hợp với sự thiếu công cụ phù hợp, làm cho bất kỳ watermark nào được tiêm đều khá mong manh.

Thật ấn tượng khi thấy một hệ thống nhắm vào phân phối mô hình mã nguồn mở và thấy nó tồn tại chống lại tất cả các kịch bản ngoại trừ những kịch bản ít có khả năng xảy ra nhất, về kiến thức trước của kẻ tấn công. Tuy nhiên, sự suy giảm hiệu suất nhỏ mà đi kèm với các chỉnh sửa sau đào tạo, nhỏ như nó có thể là trong các thí nghiệm này, có thể khiến những người có thể áp dụng nó phải cân nhắc; không chỉ vì việc quay trở lại một mô hình dựa trên API sẽ loại bỏ các cuộc tấn công này gần như hoàn toàn.

* Trang web này đã lập luận rằng ‘phát hành trọng lượng mở’ từ Trung Quốc không nhất thiết phải đủ điều kiện là mã nguồn mở hoàn toàn, vì dữ liệu thường bị giữ lại, điều này ngăn cản việc tái tạo chính xác đường ống đào tạo. Có thể nói rằng chủ đề này mời gọi một cái nhìn sâu sắc hơn về chính trị của việc phát hành mô hình AI so sánh giữa phương Tây và phương Đông, điều này nằm ngoài phạm vi của bài viết này.

Được xuất bản lần đầu vào thứ Hai, ngày 27 tháng 10 năm 2025