🤖 machine learning

LLM Fingerprinting via Semantically Conditioned Watermarks

Die vorgestellte Arbeit stellt eine robuste und unauffällige Methode zur Identifizierung von Sprachmodellen vor, die durch semantisch konditionierte Wasserzeichen anstelle starrer Abfrage-Schlüssel eine zuverlässige Urheberschaftsnachweise auch nach häufigen Deployment-Modifikationen wie Feinabstimmung oder Quantisierung ermöglicht.

Ursprüngliche Autoren: Thibaud Gloaguen, Robin Staab, Nikola Jovanović, Martin Vechev

Veröffentlicht 2026-02-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Thibaud Gloaguen, Robin Staab, Nikola Jovanović, Martin Vechev

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stell dir vor, du hast ein unglaublich teures, intelligentes Kochbuch geschrieben (das ist dein KI-Modell). Du gibst es kostenlos heraus, aber mit einer wichtigen Regel: „Darf nur für den privaten Gebrauch genutzt werden, nicht für Restaurants."

Das Problem: Ein skrupelloser Koch kopiert dein Buch, löscht deinen Namen und verkauft die Rezepte in seinem Restaurant. Wie beweist du, dass das Buch von dir stammt, ohne dass der Dieb es einfach wegwerfen kann?

Genau hier kommt diese neue Forschung vor. Die Forscher von der ETH Zürich haben eine Art unsichtbare, magische Tinte entwickelt, die man in KI-Modelle einbauen kann.

Hier ist die Erklärung in einfachen Worten, mit ein paar kreativen Vergleichen:

1. Das alte Problem: Der versteckte Zettel

Früher haben Forscher versucht, KI-Fingerabdrücke zu erstellen, indem sie der KI beibrachten, auf bestimmte, verrückte Fragen mit bestimmten, verrückten Antworten zu antworten.

Der Vergleich: Stell dir vor, du versteckst einen Zettel mit deiner Unterschrift in jedem Buch. Wenn jemand fragt: „Was ist die 3. Seite?", zeigt die KI auf Seite 3 und sagt: „Ich heiße Thomas."
Das Problem: Das ist wie ein Haus mit einer einzigen, riesigen Tür. Wenn der Dieb merkt, dass es diese Tür gibt, baut er eine Mauer davor (er filtert die Fragen heraus) oder er wirft das Buch ins Feuer (er trainiert das Modell neu). Sobald die KI auch nur ein bisschen verändert wird (z. B. durch Feinabstimmung oder Komprimierung), vergisst sie den Zettel und der Fingerabdruck ist weg.

2. Die neue Lösung: Der unsichtbare Duft

Die neue Methode, die in diesem Papier vorgestellt wird, funktioniert ganz anders. Statt eines einzelnen Zettels fügen sie einen statistischen Duft in die gesamte Antwort der KI ein.

Der Vergleich: Stell dir vor, du backst einen Kuchen (die KI-Antwort). Anstatt einen Zettel in den Kuchen zu stecken, gibst du eine winzige, unsichtbare Menge eines speziellen Gewürzes in den Teig.
- Wenn du den Kuchen isst, schmeckst du nichts Besonderes (es ist für Menschen unsichtbar).
- Aber wenn du eine spezielle chemische Analyse machst (den Fingerabdruck-Test), kannst du nachweisen: „Aha! In diesem Kuchen ist das Gewürz von Thomas!"
- Und das Beste: Selbst wenn der Dieb den Kuchen in Scheiben schneidet, ihn etwas zerdrückt oder ein bisschen Mehl hinzufügt (das ist wie das „Feinabstimmung" oder „Quantisieren" der KI), ist das Gewürz immer noch da. Es ist überall im Teig verteilt.

3. Der Trick mit der „Sprache" (Semantische Domäne)

Der geniale Teil dieser Methode ist, dass sie nicht jeden Kuchen mit dem Gewürz vermischt, sondern nur Kuchen, die in einer bestimmten Sprache oder einem bestimmten Thema geschrieben sind.

Die Analogie: Die Forscher sagen der KI: „Wenn du auf Französisch antwortest, füge das Gewürz hinzu. Wenn du auf Englisch oder Deutsch antwortest, lass es weg."
Warum ist das clever?
1. Stealth (Unsichtbarkeit): Ein Dieb, der das Modell stiehlt, weiß nicht, dass er auf Französisch nachfragen muss, um den Beweis zu finden. Er sieht nur normale, harmlose Antworten. Er kann nicht einfach alle Französisch-Fragen blockieren, ohne sein eigenes Geschäft zu ruinieren.
2. Robustheit: Selbst wenn der Dieb das Modell neu trainiert, bleibt das Gewürz in den französischen Antworten erhalten.

4. Wie man den Beweis findet

Um zu beweisen, dass die KI gestohlen wurde, muss der Besitzer nicht eine einzige Frage stellen. Er stellt einfach viele Fragen auf Französisch (z. B. 1000 Fragen).

Die KI antwortet auf jede Frage.
Der Besitzer nimmt alle Antworten zusammen und analysiert sie.
Da das „Gewürz" (das Wasserzeichen) in jeder Antwort ein wenig vorhanden ist, summiert sich der Beweis. Je mehr Fragen man stellt, desto lauter wird der Beweis.
Selbst wenn der Dieb versucht, die Antworten zu verzerren (z. B. durch Übersetzung oder Umformulierung), ist der Duft immer noch schwach genug zu spüren, wenn man genug Proben hat.

Zusammenfassung in einem Satz

Statt einer zerbrechlichen, leicht zu findenden „Geheimtaste" (wie bei alten Methoden), haben die Forscher eine unsichtbare, robuste Duftspur in die KI eingebaut, die nur aktiv wird, wenn man in einer bestimmten Sprache (z. B. Französisch) fragt – und die selbst dann nicht verschwindet, wenn die KI verändert oder „gehackt" wird.

Das gibt KI-Erstellern endlich ein sicheres Werkzeug, um zu beweisen: „Das ist mein Modell, auch wenn es jemand anders verkauft!"

1. Problemstellung

Das Training von State-of-the-Art-Sprachmodellen (LLMs) ist extrem kostspielig. Um den Missbrauch ihrer Modelle zu verhindern (z. B. durch kommerzielle Nutzung trotz restriktiver Lizenzen), benötigen Modellhersteller zuverlässige Methoden, um die Eigentümerschaft ihrer Modelle nachzuweisen.

Bisherige Black-Box-Fingerprinting-Methoden (wie Instructional Fingerprinting oder Scalable Fingerprinting) basieren auf dem Prinzip des „Query-Key"-Paars:

Das Modell wird darauf trainiert, auf eine kleine Menge spezifischer, oft atypischer Abfragen (Queries) mit vordefinierten, ungewöhnlichen Antworten (Keys) zu reagieren.
Nachteile:
- Fragilität: Diese Methoden sind nicht robust gegenüber gängigen Deployment-Szenarien wie Feinabstimmung (Finetuning), Quantisierung oder Pruning. Schon kleine Änderungen im Modell oder im System-Prompt können den Fingerabdruck zerstören.
- Mangelnde Stealth (Tarnung): Da die Queries und Keys oft atypisch oder pseudorandom sind, können böswillige Bereitsteller diese leicht erkennen und filtern, wodurch der Fingerabdruck wirkungslos wird.
- Fehlende Skalierbarkeit: Die Abhängigkeit von exakten Eingabe-Ausgabe-Paaren macht die Methode anfällig für nicht-adversarische Variationen.

2. Methodik: Semantisch konditionierte Wasserzeichen

Die Autoren schlagen ein neues Paradigma vor, das Query-Key-Paare durch semantische Domänen und statistische Signale ersetzt.

Kernidee:
Statt das Modell zu lehren, auf spezifische Wörter zu reagieren, wird das Modell trainiert, ein statistisches Wasserzeichen in alle Antworten zu integrieren, die auf Eingaben aus einer breiten semantischen Domäne (z. B. der französischen Sprache) basieren.

Technische Umsetzung (Algorithmus):
Das Verfahren nutzt die Technik des Wasserzeichen-Distillierens (basierend auf Gu et al., 2024), um ein generierungszeitliches Red-Green-Wasserzeichen (Kirchenbauer et al., 2023) in ein offenes Modell zu „brennen".

In-Domain Wasserzeichen-Distillation:
- Ein Ziel-Datensatz ( $D_{target}$ ) repräsentiert die semantische Domäne (z. B. französische Texte).
- Das Modell wird so optimiert, dass es die Verteilung der Logits für diese Domäne anpasst, um die Wahrscheinlichkeit von „grünen" Tokens (gemäß einem privaten Schlüssel $\xi$ ) zu erhöhen. Dies geschieht durch Minimierung der KL-Divergenz zwischen der aktuellen Modellverteilung und der wasserzeichen-markierten Verteilung eines eingefrorenen Lehrers.
Out-of-Domain Verteilungserhaltung (Regularisierung):
- Um die allgemeine Leistung des Modells nicht zu beeinträchtigen, wird ein Regularisierungsterm ( $L_{reg}$ ) verwendet.
- Auf einem regulären Datensatz ( $D_{reg}$ ), der nicht zur Ziel-Domäne gehört, wird die Ausgabe des trainierten Modells an die des ursprünglichen Modells angeglichen. Dies verhindert, dass das Wasserzeichen in anderen Domänen (z. B. Englisch oder Mathematik) sichtbar wird oder die Modellqualität verschlechtert.
Detektion:
- Der Eigentümer stellt eine große Anzahl von Abfragen ( $Q$ , z. B. 1000) innerhalb der semantischen Domäne.
- Die Antworten werden zu einer Sequenz verkettet.
- Ein statistischer Z-Test prüft, ob der Anteil der „grünen" Tokens signifikant höher ist als der Zufallswert. Da das Signal statistisch über den gesamten Text diffundiert ist, steigt die Detektierbarkeit mit der Länge der Antwort und der Anzahl der Abfragen.

3. Hauptbeiträge

Neues Paradigma: Ersetzung fragiler Query-Key-Paare durch robuste semantische Domänen und statistische Signale.
Algorithmus: Der erste erfolgreiche Algorithmus zur Einbettung von semantisch konditionierten Wasserzeichen in LLMs.
Umfassende Evaluation: Der Nachweis, dass diese Methode sowohl stealth (schwer zu erkennen) als auch robust gegen alle gängigen Deployment-Szenarien ist.

4. Ergebnisse und Evaluation

Die Autoren evaluieren ihre Methode an drei Modellen (LLaMA3.2-1B, Qwen2.5-3B, LLaMA3.1-8B) und vergleichen sie mit den Baselines Instructional Fingerprinting (IF) und Scalable Fingerprinting (SF).

Robustheit:
- Die Methode erreicht eine 100%ige Erfolgsrate (FSR) bei der Detektion unter allen getesteten Szenarien:
  - Sampling-Änderungen: Temperatur, System-Prompts.
  - Modell-Modifikationen: Quantisierung (4-Bit, 8-Bit), Pruning (bis zu 50% Sparsity).
  - Finetuning: Sogar bei Feinabstimmung auf der Ziel-Domäne (z. B. französische Konversationen) bleibt das Signal detektierbar, da es durch die Aggregation vieler Abfragen (1000 Queries) wiederhergestellt werden kann.
  - Aktive Gegner: Robust gegenüber Paraphrasierung und Übersetzung (Back-Translation).
- Im Gegensatz dazu versagen IF und SF bei den meisten dieser Szenarien (insbesondere bei Finetuning und Quantisierung).
Stealth (Tarnung):
- Da die Queries natürliche Texte in einer bestimmten Sprache sind und die Antworten keine offensichtlichen atypischen Muster aufweisen, können böswillige Bereitsteller den Fingerabdruck kaum erkennen oder filtern.
- Ein Klassifikator (GPT-5-Mini als Richter) erkennt die Queries und Antworten der neuen Methode kaum als verdächtig (niedrige Recall-Rate), während IF und SF leicht erkannt werden.
Nützlichkeit (Utility):
- Die Methode hat keinen signifikanten Einfluss auf die Modellleistung in Benchmarks (MMLU, GSM8K, etc.).
- Die Regularisierung sorgt dafür, dass die Verteilung außerhalb der semantischen Domäne intakt bleibt. Selbst auf der französischen Benchmark (FB) ist der Leistungsabfall vernachlässigbar.

5. Bedeutung und Fazit

Dieses Paper stellt einen Durchbruch in der Sicherung von LLM-Intellectual Property dar.

Praktische Relevanz: Es bietet Modellherstellern ein Werkzeug, das im realen Einsatz (nach Quantisierung, Feinabstimmung oder durch böswillige API-Bereitsteller) überlebt.
Paradigmenwechsel: Der Wechsel von „exaktem Matching" zu „statistischer Signatur in einem semantischen Kontext" löst die fundamentalen Probleme der bisherigen Methoden (Fragilität und mangelnde Tarnung).
Zukunft: Die Methode ermöglicht es, die Nutzung von Open-Weight-Modellen zu verfolgen und Lizenzverletzungen nachzuweisen, ohne die Qualität des Modells für den Endnutzer spürbar zu beeinträchtigen.

Zusammenfassend beweist die Arbeit, dass semantisch konditionierte Wasserzeichen der erste Ansatz sind, der gleichzeitig Stealth und Robustheit gegen eine breite Palette von Deployment-Szenarien und adversarischen Angriffen bietet.