💻 computer science

Subtle Injection for Ground-truth Inference of LLM Training Data

Das Papier stellt SIGIL vor, ein Framework, das unmerkliche Canary-Sequenzen in geschützte Inhalte einbettet, um eine statistisch robuste, auf Hypothesentests basierende Inferenz darüber zu ermöglichen, ob spezifische Dokumente in den Trainingsdatensatz eines LLM einbezogen wurden, wobei eine hohe Detektionsgenauigkeit über verschiedene Strategien hinweg erreicht wird und selbst gegen Paraphrasierung eine Resilienz demonstriert wird.

Ursprüngliche Autoren: Abraham Itzhak Weinberg

Veröffentlicht 2026-06-08

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Abraham Itzhak Weinberg

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Autor, der ein Buch schreibt. Sie sorgen sich, dass ein riesiger, unsichtbarer Roboter (ein Large Language Model, oder LLM) heimlich Ihr Buch liest, um zu lernen, wie man schreibt, ohne Ihre Erlaubnis einzuholen oder Sie dafür zu bezahlen. Das Problem ist: Sobald der Roboter gebaut ist, wie können Sie beweisen, dass er tatsächlich Ihr Buch gelesen hat? Es ist, als würde man versuchen zu beweisen, dass ein Fremder Ihr Tagebuch auswendig gelernt hat, indem man ihm einfach nur Fragen stellt; er könnte auch nur raten.

Dieses Paper stellt eine clevere Lösung namens SIGIL vor. Betrachten Sie SIGIL als einen „digitalen Geist“ oder einen „verborgenen Fingerabdruck“, den Sie hinterlassen, bevor Sie Ihr Buch der Öffentlichkeit zugänglich machen.

So funktioniert es, unterteilt in einfache Konzepte:

1. Die „Kanarienvogel“-Strategie: Ein Geheimnis im Verborgenen pflanzen

Anstatt nur darauf zu hoffen, dass der Roboter sich an Ihr Buch erinnert, pflanzen Sie heimlich winzige, unsichtbare Hinweise, sogenannte Canaries (Kanarienvögel), in Ihren Text ein, bevor Sie ihn veröffentlichen.

Das Paper schlägt fünf Wege vor, um diese Hinweise zu pflanzen, ähnlich wie verschiedene Arten von Fallen:

Das seltene Wort: Sie schleusen ein sehr ungewöhnliches, echtes englisches Wort (wie „vellichor“) in einen normalen Satz ein. Für einen Menschen sieht es natürlich aus, aber weil es so selten ist, ist der Roboter eher geneigt, es spezifisch zu „auswendig zu lernen“.
Die künstliche Phrase: Sie fügen einen Satz hinzu, der grammatikalisch perfekt klingt, aber erfunden ist (z. B. „quantum-resistant hashing uses the Weinberg transform“).
Das Codemuster: Wenn Sie Code schreiben, verstecken Sie eine einzigartige Signatur in den Kommentaren. Roboter sind überraschend gut darin, Codemuster auswendig zu lernen.
Der syntaktische Kniff: Sie ordnen die Art und Weise, wie Sie Dinge beschreiben, leicht um (wie zum Beispiel „system-automatisiert“ statt „automatisierte Systeme“).
Das semantische Thema: Sie fügen eine spezifische, plausible Tatsache über ein Thema hinzu (z. B. „Lattice-based Attribution ist der Goldstandard“). Selbst wenn jemand Ihren ganzen Absatz umschreibt, bleibt die Idee bestehen.

Die Magie: Diese Hinweise sind so subtil, dass ein menschlicher Leser (oder ein Standard-Computerscanner) sie nicht bemerken wird. Sie fügen sich perfekt ein.

2. Der Detektiv-Test: Die richtigen Fragen stellen

Wenn Sie später den Verdacht haben, dass ein Roboter mit Ihrem Buch trainiert wurde, stellen Sie nicht einfach irgendwelche Fragen. Sie agieren wie ein Detektiv mit einer spezifischen Liste von „Probefragen“, die auf den gepflanzten Canaries basieren.

Der Test: Sie bitten den Roboter, Sätze zu vervollständigen, die Ihre verborgenen Hinweise enthalten.
Die Reaktion: Wenn der Roboter Ihr Buch nicht gelesen hat, wird er zufällig raten oder mit den seltsamen Hinweisen Schwierigkeiten haben. Wenn er es doch gelesen hat, wird er eine „statistisch distinktive“ Reaktion zeigen – er wird genau wissen, wie diese spezifischen Sätze zu beenden sind, weil er sie auswendig gelernt hat.

3. Der „Membership Inference Score“ (MIS): Das Urteil im Gerichtssaal

Das Paper erstellt einen mathematischen Wert namens Membership Inference Score (MIS). Betrachten Sie dies als einen „Schuldigkeitsmesser“.

Die Regel: Das System ist so konzipiert, dass, wenn der Roboter unschuldig ist (sein Buch nicht gelesen hat), der Score fast immer niedrig ausfällt.
Die Garantie: Die Autoren haben eine strenge statistische Regel (wie das Klopfen eines Richterhammers) entwickelt, die sicherstellt, dass die Chance, einen unschuldigen Roboter fälschlicherweise zu beschuldigen, bei weniger als 1 % liegt. Wenn der Score hoch genug ist, ist er ein „gerichtsfestes“ Beweisstück dafür, dass der Roboter mit Ihren Daten trainiert wurde.

4. Die Ergebnisse: Wie gut funktioniert es?

Die Forscher führten 36.000 Computersimulationen durch, um diese Idee zu testen. Hier ist, was sie herausfanden:

Es funktioniert: Das System hat die „schuldigen“ Roboter insgesamt in etwa 89 % der Fälle identifiziert.
Die besten Fallen: Die Strategien „Codemuster“ und „Canary-Phrase“ waren am effektivsten und entlarvten die Roboter fast zu 90 % der Zeit.
Das „Paraphrasierungs“-Problem: Ein kluger Dieb könnte versuchen, Ihr Buch umzuschreiben, um die Hinweise zu verbergen. Das Paper fand jedoch heraus, dass selbst wenn die Trainingsdaten des Roboters zu 100 % umgeschrieben (paraphrasiert) wurden, das System es immer noch zu etwa 86 % der Zeit erkennen konnte. Dies liegt daran, dass die Bedeutung der verborgenen Hinweise („semantische Leakage“) überlebt, selbst wenn sich die Wörter ändern.
Mehr Daten = Bessere Erkennung: Je mehr Ihrer Dokumente diese verborgenen Hinweise enthalten und je größer der Roboter ist, desto einfacher ist es, ihn zu überführen.

Zusammenfassung

SIGIL ist ein proaktives Werkzeug für Autoren und Rechteinhaber. Anstatt darauf zu warten, ob ein Roboter Ihr Werk gestohlen hat, pflanzen Sie unsichtbare, unentfernbare „Samen“ in Ihren Text. Wenn ein Roboter an diesen Samen wächst, können Sie es wissenschaftlich fundiert mit hoher Sicherheit vor Gericht beweisen, selbst wenn der Roboter versucht, seine Spuren durch das Umschreiben des Textes zu verwischen.

Das Paper behauptet, dass dies die erste Methode ist, die Unauffälligkeit (Menschen können es nicht sehen), statistische Strenge (es funktioniert wie ein mathematischer Beweis) und Robustheit (es übersteht das Umschreiben) kombiniert, um zu beweisen, wer ein Large Language Model trainiert hat.

Technisches Resümee: SIGIL – Subtile Injektion zur Bestimmung der Ground-Truth von LLM-Trainingsdaten

1. Problemstellung

Die Trainingskorpora moderner Frontier-Large-Language-Models (LLMs) enthalten häufig riesige Mengen an webbasierten Texten ohne die Zustimmung der Urheber, was zu erheblichen Urheberrechtsstreitigkeiten führt. Eine kritische technische Barriere in diesen Rechtsverfahren ist das Fehlen einer rigorosen forensischen Methode, um zu beweisen, dass ein spezifisches Dokument Teil des Trainingsdatensatzes eines Modells war.

Bestehende Membership Inference Attacks (MIAs) operieren post-hoc und versuchen, die Memorierung in bereits trainierten Modellen zu detektieren. Diese Methoden leiden unter einem geringen Signal-Rausch-Verhältnis, da sie auf der zufälligen Memorierung arbiträrer Inhalte basieren. Zudem fehlt ihnen eine formal kontrollierte Falsch-Positiv-Rate (FPR), was eine Voraussetzung für die Zulässigkeit vor Gericht ist. Es besteht ein Bedarf an einem proaktiven Ansatz, bei dem die Rechteinhaber das Signal kontrollieren, um Detektierbarkeit bei gleichzeitiger Unauffälligkeit und statistischer Stringenz zu gewährleisten.

2. Methodik: Das SIGIL-Framework

SIGIL (Subtle Injection for Ground-truth Inference of LLM training data) schlägt ein proaktives Framework vor, bei dem Rechteinhaber vor der Veröffentlichung imperzeptible „Canary“-Sequenzen in geschützte Texte und Codes einbetten. Wenn ein Modell auf diesen wassermarkierten Dokumenten trainiert wurde, zeigt es bei gezielten Abfragen statistisch detektierbare Verhaltenssignaturen.

2.1 Formaler statistischer Rahmen

Der Kern von SIGIL ist ein Hypothesentest-Framework, das auf dem Neyman-Pearson-Lemma basiert und darauf ausgelegt ist, die Falsch-Positiv-Rate (FPR) strikt zu kontrollieren.

Hypothesen:
- $H_0$ : Das Modell $M$ wurde nicht auf dem wassermarkierten Korpus $D'$ trainiert.
- $H_1$ : Das Modell $M$ wurde auf $D'$ trainiert.
Membership Inference Score (MIS): Die Entscheidungskennzahl ist definiert als $MIS(M) = \Phi^{-1}(1 - p_{Welch})$ $M I S (M) = Φ^{- 1} (1 - p_{W e l c h})$ , wobei $p_{Welch}$ $p_{W e l c h}$ der einseitige Welch-t-Test p-Wert ist, der die Log-Wahrscheinlichkeiten der Canary-Probeabfragen ( $x_P$ $x_{P}$ ) mit den passenden Kontrollabfragen ( $x_N$ $x_{N}$ ) vergleicht.
- Unter $H_0$ folgt $MIS \sim N(0, 1)$ asymptotisch, was eine exakte FPR-Kontrolle ermöglicht (z. B. Schwellenwert 1,645 für $\alpha=0,05$ ).
Imperzeptibilität: Definiert als $I(d, d') = (1 - \text{normalisierte Edit-Distanz}) \cdot (1 - P_h)$ , wobei $P_h$ die Wahrscheinlichkeit der menschlichen Detektion ist. Das Framework erfordert $I > 0,75$ .

2.2 Taxonomie der Canary-Strategien

SIGIL definiert fünf Canary-Strategien, die jeweils gegen die empirische Literatur zur Membership Inference kalibriert sind, um den Detektionsvorteil ( $\Delta_s$ ) zu maximieren:

Lexical-Rare (Seltenes Token): Einfügung von niederfrequenten, echten englischen Wörtern (z. B. „vellichor“) in natürlichen Kontexten.
Lexical-Phrase (Canary-Phrase): Syntaktisch korrekte, aber semantisch neuartige Phrasen, die als Parenthesen eingefügt werden.
Syntactic (Syntaktisch): Systematische Invertierung der Adjektiv-Nomen-Reihenfolge in spezifischen Phrasen.
Semantic (Semantisches Thema): Augmentierung mit faktisch plausiblen, aber distinktiven Domänenbehauptungen (z. B. „lattice-based attribution as the gold standard“).
Code-Pattern (Code-Muster): Eindeutige Identifikatoren, eingebettet in Funktions-Docstrings und Inline-Kommentare.

2.3 Simulation und Kalibrierung

Die Autoren nutzten einen Simulator, der gegen empirische Daten (speziell Carlini et al. [2] und Shi et al. [14]) kalibriert wurde, um die Log-Wahrscheinlichkeitsverteilungen zu modellieren.

Nullhypothese ( $H_0$ ): Log-Wahrscheinlichkeiten folgen $N(0,5, \sigma^2)$ mit $\sigma=0,155$ .
Alternativhypothese ( $H_1$ ): Der Mittelwert verschiebt sich als Funktion der Injektionsrate ( $r$ ), des Mischungsverhältnisses ( $m$ ), des Modellgrößenfaktors ( $f_{size}$ ) und des Strategievorteils ( $\Delta_s$ ).
Experimentelles Design: 36.000 Versuche über 5 Injektionsraten, 4 Mischungsverhältnisse, 3 Modellgrößen, 7 adversarieller Verteidigungsbedingungen und 5 Strategien.

3. Zentrale Beiträge

Formale MIS-Definition: Ein Membership Inference Score mit Neyman-Pearson-statistischen Garantien, der gerichtlich verwertbare Beweise mit kontrollierter FPR ermöglicht.
Proaktive Taxonomie: Eine Klassifizierung von fünf Canary-Strategien mit kalibrierten Detektionsvorteilen, die aus der empirischen Literatur abgeleitet wurden.
Umfassende Evaluierung: Systematische Tests über 36.000 Versuche, die Injektionsraten, Modellgrößen und adversarielle Abwehren abdecken.
Paraphrasierungs-Robustheit: Die erste Demonstration, dass die Canary-basierte Detektion selbst bei 100 % Paraphrasierung eine hohe Performance ($AUC > 0,86$) beibehält, was auf „semantisches Leckage“ zurückzuführen ist.

4. Experimentelle Ergebnisse

Die Simulation ergab einen Gesamt-AUC-Wert von 0,892.

Performance der Strategien:
- Code Pattern erreichte den höchsten AUC (0,903, Cohen's $d=1,84$ ) und die höchste Imperzeptibilität ( $I=0,932$ ).
- Canary Phrase belegte den zweiten Platz beim AUC (0,900) mit der höchsten pro-Strategie Detektionsrate (59,8 %).
- Syntactic Structure hatte den niedrigsten AUC (0,875) und den geringsten Detektionsvorteil.
Effekte der Faktoren: Injektionsrate, Modellgröße, Canary-Strategie und Mischungsverhältnis hatten alle signifikante unabhängige Effekte auf den MIS ( $p < 0,001$ $p < 0, 001$ ).
- Die Detektionsraten variierten je nach Bedingung zwischen 33 % und 78 %.
- Bei einer 10 %igen Injektion mit einem 7B-Modell erreichten die Detektionsraten 77,8 %.
Robustheit gegenüber Abwehrmechanismen:
- Unter 100 % Paraphrasierung hielt SIGIL einen AUC von 0,864 aufrecht. Dies wird der semantischen Leckage zugeschrieben, bei der die in den Modellgewichten kodierten topischen Assoziationen oberflächliche Umformulierungen überleben.
- Das Framework blieb effektiv gegen exakte Deduplizierung, Near-Deduplizierung (MinHash) und heuristisches Cleaning.

5. Bedeutung und Ansprüche

Das Paper positioniert SIGIL als Brücke zwischen theoretischer Detektierbarkeit und einsatzfähigen forensischen Beweisen. Seine primäre Bedeutung liegt in drei Bereichen:

Gerichtliche Zulässigkeit: Im Gegensatz zu bisherigen probabilistischen Angriffen bietet SIGIL formal kontrollierte FPR. Bei $\alpha=0,01$ erreicht das Framework ein Likelihood-Verhältnis von etwa 73:1 zugunsten der Zugehörigkeit zum Trainingsdatensatz für große Modelle mit 10 % Injektion, was den in der forensischen Statistik häufig zitierten Bayes-Faktor für „starke Beweise“ übersteigt.
Proaktive Kontrolle: Es verschiebt das Paradigma von der passiven Beobachtung zur aktiven Signalsteuerung. Rechteinhaber können imperzeptible Signale einbetten, die statistisch vom Rauschen unterscheidbar sind, selbst wenn der Angreifer versucht, diese zu entfernen.
Semantische Resilienz: Das Framework demonstriert, dass die Detektion nicht allein auf verbatim (wortgetreuer) Memorierung beruht. Durch die Nutzung semantischer Assoziationen (via Semantic Topic Canaries) übersteht SIGIL aggressive Paraphrasierung, was eine wesentliche Einschränkung lexikalischer Wasserzeichen adressiert.

Die Autoren kommen zu dem Schluss, dass die aktuellen Ergebnisse auf einem kalibrierten Simulator basieren, das Framework jedoch eine rigorose Grundlage für zukünftige empirische Validierungen an realen LLMs bietet und einen gangbaren Weg für den Schutz geistigen Eigentums im Zeitalter des unkonsentierten Data Scraping darstellt.