Resumen Técnico: Autorreconocimiento de LLM mediante el Control y la Recuperación de Firmas de Activación

Planteamiento del Problema

A medida que los Modelos de Lenguaje de Gran Escala (LLM) se vuelven ubicuos en la generación de contenido, distinguir el texto generado por IA del contenido escrito por humanos y atribuir salidas específicas a modelos o instancias particulares se ha vuelto crítico para la auditoría y la rendición de cuentas. Los métodos de detección actuales enfrentan limitaciones significativas:

• Marcado de agua (Watermarking): Los enfoques tradicionales que modifican las probabilidades de los tokens o seleccionan tokens para codificar información oculta suelen incurrir en una sobrecarga computacional y sufren de compensaciones entre la robustez de la detección y la calidad del resultado.
• Clasificadores Post-Generación: Los métodos que dependen de propiedades estadísticas del texto o de clasificadores entrenados en corpus etiquetados son sensibles a los cambios de dominio y tienen dificultades para distinguir entre diferentes LLM o instancias específicas de un modelo.
• Brecha de Autorreconocimiento: Si bien trabajos recientes de interpretabilidad sugieren que los LLM pueden reconocer sus propios resultados, esta capacidad no se ha aprovechado sistemáticamente para una atribución fiable, ni se ha aumentado con firmas controlables y recuperables sin degradar la calidad del texto.

Metodología

El artículo propone un marco que aprovecha las activaciones del flujo residual interno de un LLM tanto para el autorreconocimiento como para la atribución. El enfoque opera bajo un modelo de amenaza de caja blanca, asumiendo el acceso a las activaciones internas del modelo objetivo durante la detección.

1. Extracción de Activaciones y Autorreconocimiento

Los autores extraen activaciones intermedias $A_l(x_i)$ en una capa $l$ fija (típicamente cerca del medio de la red) para una secuencia de tokens. Para distinguir entre texto generado por LLM y texto escrito por humanos, agregan estas activaciones a nivel de token mediante un promedio simple para formar una representación de dimensión fija. Posteriormente, se entrena un clasificador ligero de Análisis Discriminante Lineal (LDA) sobre estas representaciones. Esta configuración pone a prueba la capacidad intrínseca de "autorreconocimiento" del modelo.

2. Marcado de Agua Basado en el Control (Steering)

Para permitir la atribación multimodelo (distinguir entre diferentes instancias del mismo modelo base), los autores introducen un mecanismo de control durante la inferencia:

• Inyección de Vectores: Durante la generación, un vector disperso aleatorio $v \in \mathbb{R}^d$ es escalado por un coeficiente de amplificación $\alpha$ y sumado a las activaciones intermedias en la capa $l$ para cada token:
  $$A_l(x_i) \leftarrow A_l(x_i) + \alpha v$$
• Dispersión (Sparsity): A diferencia de las intervenciones densas, los vectores de control se construyen con alta dispersión (99.7% de dimensiones en cero). Esta elección de diseño busca minimizar las perturbaciones al contenido semántico mientras se mantiene una señal detectable.
• Recuperación: En el momento de la detección, el texto generado se pasa a través del mismo modelo (sin control) para extraer las activaciones. El vector de control original se recupera mediante:
  • Aprendizaje Supervisado: Un Perceptrón Multicapa (MLP) entrenado para clasificar el índice de control.
  • Recuperación Geométrica Zero-Shot: Cálculo de la similitud de coseno entre las activaciones extraídas y los vectores de control candidatos, basándose en la ortogonalidad de los vectores aleatorios respecto a las variedades semánticas.

Principales Contribuciones

El artículo realiza tres contribuciones principales:

1. Demostración Empírica de Autorreconocimiento: Los autores demuestran que los LLM pueden distinguir de forma fiable sus propios resultados del texto escrito por humanos, incluso en escenarios de baja entropía (por ejemplo, resúmenes de noticias cortos) y sin acceso al prompt original.
2. Mecanismo de Atribución Basado en el Control: Introducen un método para inyectar firmas distintas y recuperables en el texto generado mediante el control de las activaciones internas. Esto permite una atribución precisa entre múltiples instancias controladas del mismo modelo sin comprometer la calidad de la generación.
3. Análisis de la Estructura del Espacio de Activación: El trabajo demuestra que los espacios de activación interna contienen una estructura explotable para codificar señales aleatorias. Muestra que las intervenciones dispersas permiten la recuperación de la señal con una interferencia semántica mínima, lo que sugiere que las señales de atribución pueden coexistir con el contenido semántico debido a la geometría de alta dimensión de las representaciones de los LLM.

Resultados Experimentales

Los experimentos se realizaron en varios modelos (Llama-3.1-8B, Llama-3.2-3B/1B, Ministral-3-8B) utilizando conjuntos de datos que incluyen XL-Sum (resumen de baja entropía), ELI5 (QA de respuesta abierta) y un conjunto de datos curado de Fresh News.

• Rendimiento de Autorreconocimiento: El clasificador basado en activaciones logró puntuaciones de AUROC casi perfectas (a menudo >99%) al distinguir el texto de LLM del texto humano. Crucialmente, este rendimiento se mantuvo robusto en entornos agnósticos al prompt, mientras que las líneas base basadas en perplejidad a menudo fallaban o se desempeñaban cerca del azar sin acceso al prompt.
• Precisión de Atribución: En tareas de atribución multimodelo (distinguir entre dos o más variantes controladas), el método logró altos puntajes F1 (por ejemplo, 99.1% para Llama-3.1-8B en ELI5). El rendimiento escaló con el tamaño del modelo y se mantuvo significativamente por encima de las líneas base aleatorias incluso cuando aumentaba el número de clases.
• Robustez: La señal de control demostró una robustez superior al parafraseo (usando DIPPER-XXL) en comparación con el marcado de agua KGW tradicional. La señal persistió incluso tras un parafraseo fuerte, probablemente porque la atribución depende de patrones de activación agregados a través de muchos tokens en lugar de estadísticas locales de tokens.
• Preservación de la Calidad: Utilizando un clasificador de calidad DeBERTa ajustado y pruebas de referencia MMLU, los autores encontraron que el control disperso inducía una degradación insignificante en la calidad del texto. En algunos casos, los modelos controlados mostraron ligeras mejoras en la calidad o mantuvieron el rendimiento dentro de un margen del 1-2% respecto a los modelos vanilla, superando la degradación observada con las intervenciones densas.
• Recuperación Directa de la Señal: El estudio confirmó que el vector de control puede recuperarse mediante la similitud de coseno sin un clasificador entrenado, logrando una precisión de atribución a nivel de texto del 84.6% (frente al 99.1% del MLP entrenado), validando la codificación física de la señal.

Significado y Reivindicaciones

El artículo afirma ofrecer una alternativa práctica al marcado de agua tradicional al aprovechar la estructura de representación natural del modelo en lugar de embeber señales externamente. Las implicaciones clave incluyen:

• Atribución Intrínseca: El método cambia el paradigma de detectar la "artificialidad" a identificar instancias de modelos específicos o configuraciones de control, apoyando una rendición de cuentas más granular.
• Eficiencia y Calidad: Al operar sobre las activaciones internas con vectores dispersos, el enfoque evita la sobrecarga computacional de los autoencoders dispersos o las estrategias compleas de selección de tokens, preservando al mismo tiempo la utilidad del texto.
• Especificidad de la Arquitectura: Los autores señalan que la señal de control es específica de la arquitectura; la detección decae a niveles de azar cuando el texto es generado por una familia de modelos diferente, reflejando fenómenos observados en el aprendizaje subliminal. Esto sugiere que las señales son geométricamente coherentes dentro de una familia de modelos pero no se generalizan entre arquitecturas.
• Direcciones Futuras: El trabajo sugiere el potencial para marcas de agua multibit combinatorias mediante la superposición de múltiples vectores dispersos y destaca la necesidad de mayor investigación sobre la interpretabilidad de estas direcciones de control aleatorias para asegurar que no introduzcan riesgos de seguridad o sesgos.

Los autores concluyen que las representaciones internas ofrecen un mecanismo basado en principios para detectar e inducir firmas de generación específicas del modelo, proporcionando un marco flexible para la atribución que equilibra la robustez, la escalabilidad y la calidad del texto.