💻 computer science

LineageMark: Multi-user White-box Watermarking for Contribution Tracing in Model Derivation Chains

LineageMark es un marco de marcas de agua de caja blanca multiusuario que permite el rastreo robusto de contribuciones en cadenas de derivación de modelos de lenguaje de gran tamaño mediante la codificación de marcas de agua como estadísticas de proyección sobre parámetros estables, asegurando la persistencia e integridad a través de actualizaciones incrementales, ajuste fino y otras perturbaciones del modelo.

Autores originales: Bingxue Zhang, Xiaofeng Xu, Feida Zhu

Publicado 2026-06-17

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Bingxue Zhang, Xiaofeng Xu, Feida Zhu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el mundo de la Inteligencia Artificial como una enorme obra de construcción abierta. En este sitio, un "Modelo Base" es como el esqueleto de un rascacielos ya construido. En lugar de que un solo arquitecto termine el edificio, docenas de equipos diferentes (colaboradores) se turnan para añadir pisos, pintar paredes e instalar nuevos sistemas. Cada equipo modifica el edificio para satisfacer sus necesidades específicas, creando una larga "cadena" de modelos derivados.

¿El problema? A medida que el edificio cambia de manos y es renovado, se vuelve difícil demostrar quién hizo qué. ¿Fue el Equipo A quien construyó los cimientos? ¿Fue el Equipo B quien instaló los ascensores? Si el edificio se vende o se utiliza más tarde, ¿cómo sabemos qué equipo merece el crédito (o el pago) por sus contribuciones específicas?

Este es el problema que LineageMark resuelve. Es un nuevo sistema de "etiquetado digital" que permite a múltiples equipos estampar su firma única en un modelo, incluso mientras ese modelo es constantemente renovado por otros.

Así es como funciona, utilizando analogías sencas:

1. El Problema: Tinta que se desvanece y firmas que chocan

Los métodos de marca de agua existentes son como escribir un nombre a lápiz en una sola página de un cuaderno.

El problema del desvanecimiento: Si le pasas el cuaderno a otra persona y esta borra partes de la página para escribir sus propias notas, tu nombre podría emborronarse o desaparecer por completo.
El problema del choque: Si dos personas intentan escribir en la misma página al mismo tiempo, sus tintas podrían mezclarse, haciendo que sea imposible leer ninguna de las dos firmas.

En el mundo de la IA, cuando un nuevo equipo realiza un ajuste fino del modelo (actualiza su "cerebro"), accidentalmente borra o desordena las firmas digitales dejadas por equipos anteriores.

2. La Solución: El fundamento de "Piedra Estable"

LineageMark cambia la estrategia. En lugar de escribir en una sola página, talla las firmas en las piedras de los cimientos del edificio.

Encontrar las piedras estables: Antes de tallar, el sistema analiza el modelo para encontrar partes específicas de su "cerebro" (parámetros) que son muy estables. Estas son como las pesadas piedras de carga que no se mueven incluso cuando el edificio es renovado. El sistema ignora las partes frágiles y cambiantes del modelo.
El método de tallado (Proyección): En lugar de tallar un agujero profundo y obvio (lo que rompería la piedra), el sistema realiza ajustes diminutos y sutiles en un grupo de estas piedras estables. Es como disponer un grupo de guijarros de modo que, si se miran desde un ángulo específico, formen una "X" u "O" oculta.
- La clave: Cada equipo tiene una "linterna" secreta (una clave privada). Cuando apuntan su linterna con el ángulo correcto hacia los guijarros, pueden ver su forma oculta. Sin la linterna, los guijarros solo parecen un montón de rocas normales.

3. Cómo gestiona múltiples equipos

Aquí es donde LineageMark brilla. Imagina una larga cadena de renovaciones:

El Equipo A talla su firma en las piedras estables.
El Equipo B llega, renueva el edificio y talla su firma.
El Equipo C hace lo mismo.

Debido a que LineageMark utiliza un sistema de "votación":

Incluso si la renovación del Equipo B desplaza ligeramente algunos de los guijarros que el Equipo A tocó, hay tantos otros guijarros en el grupo que la forma general de la firma del Equipo A sigue siendo visible.
La firma del Equipo B se talla de una manera que no choca con la del Equipo A; es como tallar en un conjunto de piedras diferente o usar un ángulo distinto que no perturbe el primer patrón.
El Resultado: Al final de la cadena, el Equipo A puede apuntar su linterna y seguir viendo su "X", y el Equipo B puede apuntar la suya y ver su "O". No necesitan hablar entre sí ni ver el plano original; solo necesitan su propia clave secreta.

4. Probando la durabilidad

Los investigadores probaron este sistema simulando un sitio de construcción caótico:

Renovaciones (Ajuste fino/Fine-tuning): Siguieron actualizando el modelo con nuevos datos. Las marcas de agua se mantuvieron visibles el 100% de las veces, incluso después de muchas rondas de actualizaciones.
Compresión (Cuantización): Comprimieron el modelo para hacerlo más pequeño (como comprimir un archivo). Las marcas de agua sobrevivieron, incluso cuando el tamaño del archivo se redujo a la mitad.
Poda (Pruning): Eliminaron partes del modelo (como cortar una pared). Las marcas de agua sobrevivieron, a menos que cortaran demasiada parte del edificio.
Claves falsas: Intentaron engañar al sistema con claves falsas. El sistema dijo correctamente: "No, esa no es tu firma", mientras que los métodos antiguos a veces se confundían y decían "Sí" a la persona equivocada.

5. El compromiso (Trade-off)

El artículo señala un pequeño costo: para encontrar esas "piedras estables" (los mejores lugares para tallar), el sistema tiene que realizar cálculos matemáticos pesados al principio. Es como un topógrafo que pasa mucho tiempo mapeando los cimientos antes de colocar el primer ladrillo. Sin embargo, una vez hecho el mapa, añadir o verificar las firmas es muy rápido.

Resumen

LineageMark es una forma de proteger la propiedad intelectual de todos los que ayudan a construir una IA. Garantiza que, incluso en un entorno concurrido y en constante cambio donde muchas personas modifican el mismo modelo, la firma digital única de cada colaborador permanezca visible, verificable y distinta de las demás. Convierte un sitio de construcción caótico en un edificio con un registro claro y permanente de quién construyó qué.

Resumen Técnico: LineageMark

Declaración del Problema

En los ecosistemas abiertos de Modelos de Lenguaje de Gran Escala (LLM), los modelos se someten frecuentemente a cadenas de derivación de múltiples etapas donde diferentes contribuyentes adaptan un modelo base para tareas, dominios o aplicaciones específicas. Esto crea estructuras de linaje complejas donde un modelo derivado final contiene contribuciones de múltiples etapas históricas. Los métodos de marca de agua actuales enfrentan dos limitaciones críticas en este contexto:

Decaimiento del Linaje: Las marcas de agua históricas incrustadas por contribuyentes tempranos a menudo se desvanecen o se vuelven inextractables debido al desplazamiento de parámetros causado por el ajuste fino de parámetros completos y las actualizaciones posteriores del modelo.
Interferencia de Multi-usuario: Cuando nuevos contribuyentes intentan insertar sus propias marcas de agua en un modelo ya marcado, los métodos existentes a menudo fallan al intentar preservar la integridad de las marcas de agua previas, o la nueva inserción interrumpe las señales de los contribuyentes anteriores.

Los métodos de caja blanca existentes están diseñados principalmente para la incrustación de un solo usuario y una única vez, y carecen de mecanismos para soportar la verificación incremental y multi-usuario donde cada contribuyente debe verificar su presencia de forma independiente sin tener acceso al modelo original u otras claves de usuario.

Metodología: LineageMark

LineageMark es un marco de trabajo de marca de agua de caja blanca multi-usuario diseñado para rastrear las contribuciones en las cadenas de derivación de modelos. Opera a través de tres fases principales:

1. Selección de Portadores Estables

Para mitigar el riesgo de deriva de la marca de agua durante las derivaciones subsecuentes, LineageMark selecciona coordenadas de parámetros "estables" para la incrustación.

Relevancia Funcional: Calcula una matriz de Fisher ( $F_\ell$ ) en el espacio oculto empírico utilizando datos de calibración para identificar direcciones fuertemente asociadas con el comportamiento del modelo, evitando regiones de parámetros inactivas.
Estabilidad de Perturbación: Construye una matriz de segundo momento de compresión ( $C_\ell$ ) utilizando operadores de perturbación (proyección aleatoria, ruido de cuantización gaussiana, dropout estructurado) para medir la sensibilidad a las modificaciones comunes del modelo.
Criterio de Selección: Las direcciones estables se seleccionan resolviendo un problema de autovalores generalizado ( $F_\ell u = \lambda(C_\ell + \epsilon I)u$ ) para maximizar la relevancia funcional por unidad de perturbación. Una estrategia de truncamiento espectral selecciona autovectores dentro de un rango específico para equilibrar la estabilidad y la utilidad.
Mapeo: Estos subespacios estables se mapean de vuelta a coordenadas de pesos específicas en matrices lineales, creando una máscara ( $\Omega$ ) de portadores candidatos.

2. Incrustación de Marca de Agua por Proyección de Signo

En lugar de modificar los pesos individuales a valores específicos, LineageMark codifica cada bit de la marca de agua como una estadística de proyección de signo sobre un grupo de pesos.

Agrupación Impulsada por Clave: Utilizando una clave privada, cada contribuyente genera mapeos pseudoaleatorios para definir grupos de coordenadas disjuntos y coeficientes de proyección ( $\phi_{ij} \in \{-1, +1\}$ ).
Redundancia: Los payloads de la marca de agua se dividen en fragmentos y se asignan cíclicamente a través de múltiples matrices lineales. Esto asegura que incluso si el ajuste fino debilita la señal en algunas matrices, la señal agregada siga siendo recuperable.
Restricciones de Margen: El proceso de incrustación impone un margen de decisión ( $\mu$ ). Si la estadística de proyección actual no satisface el signo objetivo con suficiente margen, se aplica una actualización local de forma cerrada a las coordenadas estables para empujar la estadística hacia el objetivo. Esto crea un búfer contra futuras perturbaciones de parámetros.

3. Extracción de Marca de Agua Impulsada por Clave

La verificación se realiza de forma independiente por cada contribuyente candidato sin requerir el modelo original, los datos de calibración o la información de otros usuarios.

Reconstrucción del Detector: El verificador utiliza su clave privada para reconstruir los mismos grupos de coordenadas y coeficientes de proyección utilizados durante la incusción.
Votación Ponderada: El verificador calcula estadísticas de proyección en los parámetros actuales del modelo. En lugar de una votación de mayoría simple, LineageMark utiliza la magnitud de la proyección como un peso de confianza.
Agregación: Las decisiones locales de múltiples matrices se agregan. Un bit se decodifica basándose en si los votos ponderados positivos o negativos acumulados dominan. Este mecanismo permite al sistema recuperar bits incluso si algunas matrices han sido corrompidas por etapas de derivación posteriores.

Contribuciones Clave

Formalización de la Marca de Agua Multi-usuario: El artículo define los requisitos para las cadenas de derivación de modelos, específicamente la preservación del linaje (las marcas de agua históricas permanecen extractables), la incrustación incremental (las nuevas marcas de agua no destruyen las antiguas) y la verificación independiente basada solo en claves.
Selección de Portadores Estables: Un método novedoso que utiliza la información de Fisher y el análisis de sensibilidad de perturbación para identificar regiones de parámetros robustas frente al ajuste fino de parámetros completos y la compresión.
Proyección de Signo con Restricción de Margen: Una estrategia de incrustación que representa los bits como signos de proyección agregados con márgenes impuestos, mejorando la robustez contra el desplazamiento de parámetros y la interferencia multi-usuario.
Evaluación Exhaustiva: El marco es evaluado a través de múltiples escalas de modelos (de OPT-125M a OPT-1.3B) y dominios (médico, legal, razonamiento matemático), demostrando robustez contra el ajuste fino, la re-marcado de agua, la cuantización y la poda.

Resultados Experimentales

Preservación del Linaje: En cadenas de derivación de múltiples etapas que involucran ajuste fino de parámetros completos, LineageMark logró una Tasa de Extracción de Marca de Agua (WER) del 100% para todas las marcas de agua históricas en todas las etapas y dominios. En contraste, los métodos de referencia (ELLMark, EmMark) mostraron un decaimiento significativo (la WER cayó a ~40-60% para las marcas históricas) y problemas de interferencia.
Incrustación Incremental: Los nuevos contribuyentes pudieron incrustar marcas de agua con éxito sin degradar la extractabilidad de las marcas de agua existentes.
Robustez:
- Ajuste Fino: Mantuvo una WER del 100% contra ataques de ajuste fino de parámetros eficientes (LoRA, Prefix-tuning, etc.) y el ajuste fino estándar de parámetros completos.
- Cuantización: Logró una WER del 100% bajo cuantización de 8 bits y una WER >90% bajo cuantización agresiva de 4 bits.
- Poda: Mantuvo una WER >96% incluso con una poda aleatoria del 60%.
Resistencia a Falsos Positivos: LineageMark demostró una gran brecha entre las puntuaciones de extracción con clave correcta e incorrecta. Con un umbral de verificación de 0.75, logró una Tasa de Falsos Positivos (FPR) del 0.50% y una Tasa de Falsos Negativos (FNR) del 0%, superando significativamente a las bases de referencia que sufrieron altas FPRs (por ejemplo, 88% para ELLMark) debido a puntuaciones de extracción ambiguas.
Preservación de la Utilidad: El rendimiento zero-shot en benchmarks generales (PIQA, HellaSwag, WinoGrande) se mantuvo estable, con una degradación insignificante en comparación con el modelo original.

Significado y Reivindicaciones

El artículo afirma que LineageMark aborda una brecha crítica en el ecosistema abierto de LLM al permitir una proveniencia verificable de múltiples contribuyentes. A diferencia de los métodos anteriores que se centran en la verificación de un solo propietario, LineageMark permite que un modelo derivado sirva como un activo digital donde las contribuciones de múltiples contribuyentes históricos pueden ser auditadas de forma independiente.

Los autores enfatizan que el marco no pretende recuperar la topología completa de la derivación ni el orden cronológico de inserción, sino verificar la presencia de marcas de agua de contribuyentes específicos en un modelo derivado. El trabajo demuestra que extender la marca de agua de escenarios de un solo propietario a cadenas de derivación multi-usuario es factible mediante la selección de portadores estables y la codificación de proyección estadística, proporcionando un mecanismo práctico para la protección de la propiedad intelectual y el rastreo de contribuciones en ecosistemas de modelos en evolución.

El artículo también reconoce modestamente las limitaciones, señalando que el costo de preprocesamiento (estimación de la información de Fisher) es el principal cuello de botella computacional y que el método no es inmune a un ajuste fino suficientemente agresivo (por ejemplo, tasas de aprendizaje muy altas) o a una compresión extrema que exceda los márgenes de estabilidad diseñados.