💻 computer science

Synchronization-Free Algebraic Fingerprints for Large Language Models: From Autoregressive to Diffusion Models

Este artículo propone un novedoso esquema de marca de agua sin sincronización para modelos de lenguaje de gran tamaño que incrusta identidades secretas en pares de tokens utilizando polinomios de Reed-Solomon y congruencias binarias, permitiendo una atribución robusta que resiste la edición, el parafraseo y el reordenamiento de tokens sin requerir sincronización de bloques.

Autores originales: Jaroslaw Janas, Josef Pieprzyk, Pawel Morawiecki

Publicado 2026-07-21

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Jaroslaw Janas, Josef Pieprzyk, Pawel Morawiecki

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás intentando dejar una firma secreta en un montón de castillos de arena construidos por un robot muy talentoso, pero ligeramente travieso. Este robot es una Inteligencia Artificial (IA) que escribe historias, responde preguntas y crea código. El problema es que el robot es tan bueno imitando el estilo humano que es imposible distinguir si una historia fue escrita por una persona o por la máquina. Peor aún, si alguien intenta "arreglar" la historia —borrando una frase, añadiendo un chiste o reordenando los párrafos— la firma suele desaparecer, como una huella en la arena cuando llega la marea.

Los científicos han estado intentando resolver esto estampando códigos invisibles en el texto, pero la mayoría de sus métodos son como una cadena larga y frágil de clips para papel. Si tiras de un clip (una palabra eliminada) o añades uno nuevo (una palabra insertada), toda la cadena se rompe y el mensaje secreto se pierde. Este nuevo artículo presenta una forma completamente diferente de pensar en el problema. En lugar de una cadena frágil, imagina un campo de miles de luciérnagas diminutas e independientes. Cada luciérnaga transporta una pequeña pieza de un código secreto. Si una tormenta (un editor) se lleva la mitad de las luciérnagas, o si vuelan en un orden diferente, aún puedes descifrar el mensaje secreto porque no necesitas que todas estén en línea; solo necesitas que algunas de ellas estén allí. Los investigadores demuestran que, mediante trucos matemáticos que involucran polinomios (piensa en ellos como recetas secretas para números) y tratando la edición de texto como un juego de azar, puedes recuperar la identidad secreta de la IA incluso después de que el texto haya sido fuertemente editado.

El Problema: La "Cadena" frente a la "Nube"

Durante mucho tiempo, los investigadores han intentado marcar el texto de la IA organizando el mensaje secreto en una secuencia estricta, como cuentas en un collar. Decían: "La primera palabra recibe una marca secreta, la segunda palabra recibe la siguiente marca, y así sucesivamente". Esto funciona bien hasta que alguien edita el texto. Si eliminas la primera palabra, la segunda palabra de repente se convierte en la "primera", y todo el código secreto se desordena. Es como intentar leer un libro donde alguien arrancó la página 5; de repente, la página 6 se convierte en la página 5, y la historia deja de tener sentido. Esto se llama un problema de "sincronización". El detector (la persona que comprueba la marca de agua) se confunde porque el orden de las pistas ha cambiado.

Los autores de este artículo argumentan que este enfoque de "cadena" es fundamentalmente defectuoso para textos que podrían ser editados. Proponen un cambio radical: dejar de depender totalmente del orden. En lugar de una cadena, sugieren una "nube" de pistas independientes.

La Solución: Luciérnagas Independientes y Recetas Secretas

La idea central de este artículo es una marca de agua "libre de sincronización". Así es como funciona, utilizando la analogía de una receta secreta y un par de vecinos.

Imagina que la IA está escribiendo una historia, palabra por palabra. Los investigadores proponen que, para cada par de palabras vecinas (llamémoslas "Palabra A" y "Palabra B"), el sistema verifica una "receta" secreta (un polinomio matemático) para decidir qué tipo de "sabor" debe tener la Palabra B.

La Receta Secreta: El dueño de la IA tiene una identidad secreta (como un número de 32 o 128 bits). Convierten este número en una fórmula matemática.
Los Vecinos: Para cada par de palabras, el sistema observa la primera palabra para elegir un "punto de prueba" específico en la fórmula.
La Decisión: La fórmula da un resultado. Si el resultado es "par", la segunda palabra debe ser una "Palabra Tipo 1" (como un sustantivo). Si el resultado es "impar", la segunda palabra debe ser una "Palabra Tipo 2" (como un verbo).
La Magia: La parte crucial es que esta decisión para la Palabra B depende únicamente de la Palabra A y de la receta secreta. No le importa lo que ocurrió antes de la Palabra A ni lo que ocurra después de la Palabra B.

Debido a que cada par de palabras es una "luciérnaga" autónoma, no importa si eliminas la Palabra A, insertas una nueva palabra entre ellas o si reordenas todo el párrafo. Los pares restantes siguen manteniendo sus propias pistas independientes. Si tienes suficientes pares, puedes reconstruir matemáticamente la receta secreta original, incluso si el texto ha sido recortado y reorganizado.

Cómo Demuestran que Funciona

Los autores no solo adivinaron que esto funcionaría; construyeron un modelo matemático para probarlo. Trataron el proceso de editar texto (eliminar palabras, cambiar palabras) como un "Canal Simétrico Binario". En lenguaje sencillo, esto significa que trataron cada error de edición como un simple lanzamiento de moneda: o la pista es correcta, o se ha invertido al lado equivero.

Realizaron los cálculos para ver cuántas pistas (pares de palabras) necesitan para recuperar el secreto.

El Resultado: Descubrieron que necesitan muy poco texto "extra". Incluso si el texto ha sido fuertemente editado (el 30% de las pistas son erróneas o faltan), solo necesitan unas pocas frases adicionales para recuperar un código secreto de 32 bits con un 99% de confianza.
La Analogía: Si estuvieras intentando adivinar una contraseña de 32 bits lanzando monedas, y obtuvieras el 30% de los lanzamientos incorrectos, normalmente te quedarías estancado. Pero debido a que su matemática utiliza un tipo especial de código (Reed-Solomon), es como tener un anillo decodificador mágico que puede corregir esos lanzamientos erróneos, siempre y cuando tengas suficientes lanzamientos totales.

También probaron cómo manejar secretos muy largos (como los de 128 bits). Descubrieron que si dividen el gran secreto en fragmentos más pequeños y tratan cada fragmento como su propia nube independiente de luciérnagas, pueden recuperar todo el contenido sin necesidad de un texto masivo.

¿Qué pasa con los diferentes tipos de IA?

El artículo también analiza un tipo más nuevo de IA llamado "Modelos de Difusión". A diferencia de la IA estándar que escribe palabra por palabra de izquierda a derecha (como un mecanógrafo), los modelos de difusión comienzan con una frase desordenada y escasa, y la van limpiando lentamente, como un escultor que va quitando piedra para encontrar la estatua.

Los autores se dieron cuenta de que su método de "luciérnaga independiente" funciona perfectamente aquí también. Propusieron tres formas diferentes para que la IA se "comprometa" con la marca de agua mientras limpia el texto:

Compromiso Básico: La IA fija una palabra tan pronto como encaja con la regla de su vecino izquierdo. Es rápido, pero si comete un error, no puede corregirlo.
Compromiso Refinado: La IA comprueba ambos vecinos. Si un vecino dice "sí" y el otro dice "no", podría cambiar de opinión sobre el vecino para corregir el error. Es más inteligente, pero toma un poco más de tiempo.
Compromiso Deslizante: La IA trata la frontera entre las palabras "fijas" y las "no fijas" como una puerta deslizante. Mueve la puerta hacia adelante y hacia atrás hasta que todo encaja perfectamente. Es lo más robusto, pero es lo que más tiempo requiere.

Sus simulaciones sugieren que para la IA estándar, el método "Básico" es lo suficientemente rápido. Para los modelos de difusión, el método "Refinado" ofrece un buen equilibrio, corrigiendo errores sobre la marcha.

La Conclusión

Este artículo sugiere una nueva forma de etiquetar el texto de la IA que es increíblemente difícil de romper. A diferencia de los métodos anteriores que se desmoronan cuando se edita el texto, este método sobrevive a las eliminaciones, inserciones y reordenamientos porque cada pista se sostiene por sí misma. Los autores demuestran, mediante matemáticas y simulaciones, que se puede recuperar la identidad secreta de la IA con alta confianza, incluso si el texto ha sido fuertemente editado. También proporcionan una hoja de ruta sobre cómo implementar esto tanto en generadores de texto estándar como en los modelos de difusión, que son más complejos y nuevos.

Aunque no afirman haber resuelto todos los problemas posibles (señalan que trabajos futuros podrían explorar patrones de edición más complejos), han proporcionado un marco matemáticamente probado que hace que el marcado de agua sea mucho más fiable que antes. Es un cambio de construir una cadena frágil a crear una nube resiliente de pistas.

Resumen Técnico: Huellas Algebráicas Libres de Sincronización para Modelos de Lenguaje de Gran Escala

1. Planteamiento del Problema

El despliegue generalizado de los Modelos de Lenguaje de Gran Escala (LLM) ha creado una necesidad urgente de métodos de marca de agua fiables para atribuir el texto generado, asegurar la rendición de cuentas y detectar el uso indebido. Los esquemas de marca de agua existentes para los LLM se clasifican generalmente en categorías estadísticas, léxicas, sintácticas o criptográficas. Sin embargo, una limitación fundamental de la mayoría de los enfoques actuales es su dependencia de la sincronización. Estos métodos suelen incrustar bits de la marca de agua de forma secuencial o dentro de bloques de tamaño fijo, dependiendo del orden posicional preciso de los tokens. En consecuencia, las operaciones comunes de edición —como inserciones, eliminaciones, paráfrasis o reordenamiento de frases— destruyen la alineación entre el codificador y el decodificador, haciendo que la marca de agua sea irrecuperable. El artículo identifica el desarrollo de técnicas de marca de agua libres de sincronización, capaces de una detección fiable tras una edición arbitraria del texto, como un problema abierto de gran envergadura en el campo.

2. Metodología

Los autores proponen un novedoso marco de trabajo para marcas de agua que elimina la necesidad de una alineación explícita de los tokens durante la recuperación. La innovación central es un esquema de huella dactilar algebraica basado en códigos Reed–Solomon, donde cada bit de la marca de agua se incrusta de forma independiente en un par de tokens vecinos.

2.1 Marco Algebraico

Representación de Identidad: Una identidad secreta $S$ se representa como un vector binario de $n$ bits, mapeado a un polinomio $f_S(x)$ de grado como máximo $n-1$ sobre un cuerpo finito $\mathbb{F}_q$ (donde $q > 2^n$ es un número primo impar).
Huella Dactilar Binaria: En lugar de transmitir el valor de campo completo $f_S(\alpha)$ , el esquema extrae una única observación binaria: la paridad de la evaluación, $\phi_S(\alpha) = f_S(\alpha) \pmod 2$ .
Mecanismo de Incrustación: Para cada par de tokens consecutivos $(t_i, t_{i+1})$ $(t_{i}, t_{i + 1})$ :
1. El primer token $t_i$ determina un punto de evaluación único $\alpha_i = H(K, \text{id}(t_i)) \pmod q$ , donde $H$ es un hash criptográfico y $K$ es una clave secreta.
2. Se computa el bit de la marca de agua $w_i = \phi_S(\alpha_i)$ .
3. El segundo token $t_{i+1}$ se genera (o se sesga) para pertenecer a una clase de token específica (por ejemplo, "verde" o "rojo") correspondiente al valor del bit $w_i$ .
Independencia: Dado que cada bit depende únicamente del par de tokens local y de la clave secreta, la incrustación de un bit no depende de la posición o el estado de los bits anteriores.

2.2 Recuperación y Decodificación

La recuperación no requiere que los tokens estén en su orden original. El detector recoge un conjunto de pares de tokens supervivientes, recomputa los puntos de evaluación $\alpha_j$ utilizando la clave secreta y observa los bits correspondientes $\hat{w}_j$ . El objetivo es encontrar la identidad única $S$ tal que $\phi_S(\alpha_j) = \hat{w}_j$ para todos los pares observados.

Algoritmos: El artículo propone tres algoritmos de recuperación basados en el tamaño de la identidad:
1. Búsqueda Exhaustiva: Para $n$ pequeñas ( $n \lesssim 20$ ).
2. Meet-in-the-Middle (Encuentro en el medio): Para $n$ moderadas ( $20 < n \le 60$ ), reduciendo la complejidad de $O(2^n)$ a $O(2^{n/2})$ .
3. Fragmentación: Para identidades grandes, el secreto se divide en fragmentos independientes, permitiendo la recuperación paralela de subproblemas más pequeños.

2.3 Modelado de la Corrupción

Los autores modelan el proceso de marca de agua como un Canal Simétrico Binario (BSC). Argumentan que las inserciones, eliminaciones, sustituciones y las imperfecciones de incrustación pueden abstraerse todas en una única probabilidad de error de cruce $p$ .

Inserciones/Eliminaciones: A diferencia de los esquemas basados en bloques donde una sola eliminación desplaza todos los bits subsiguientes, aquí una inserción o eliminación simplemente elimina o añade observaciones independientes específicas. Se demuestra que la probabilidad de una edición no detectada es aproximadamente $1/4$ , lo que significa que la mayoría de las ediciones introducen inconsistencias detectables.
Probabilidad de Recuperación: La probabilidad de una recuperación exitosa depende únicamente del número de observaciones correctas supervivientes $r$ . Si $r \ge n + \lambda$ , la probabilidad de fallo está acotada por $2^{-\lambda}$ .

2.4 Extensión a Modelos de Difusión

El marco se extiende a los Modelos de Lenguaje de Difusión (DLM), que generan texto de forma iterativa en lugar de autorregresiva. Los autores proponen tres "Algoritmos de Compromiso" (Commit Algorithms) para imponer las restricciones de la marca de agua durante el proceso de eliminación de ruido:

Compromiso Básico (Basic Commit): Compromete un token si se cumple la restricción de la izquierda.
Compromiso Refinado (Refined Commit): Se basa en las restricciones de la izquierda pero revoca los vecinos si las restricciones de la derecha fallan, permitiendo la autocorrección local.
Compromiso Deslizante (Sliding Commit): Permite que la frontera entre las regiones comprometidas y no comprometidas se desplace, tratando el proceso como un paseo aleatorio para resolver inconsistencias locales.

3. Contribuciones Clave

El artículo resume sus contribuciones de la siguiente manera:

Marco Libre de Sincronización: Un método donde cada bit de la marca de agua se incrusta de forma independiente, eliminando la necesidad de alineación de tokens durante la recuperación.
Codificación Reed–Solomon: Una construcción que reconstruye la identidad a partir de cualquier colección suficientemente grande de observaciones correctas, independientemente de su posición en el texto.
Modelado BSC: Una demostración de que todas las fuentes de corrupción (errores de incrustación y edición) pueden modelarse mediante un único Canal Simétrico Binario, permitiendo una evaluación de robustez analítica en lugar de puramente empírica.
Fórmulas Probabilísticas: Derivación de fórmulas exactas y aproximadas que predicen la longitud mínima de texto requerida para una recuperación exitosa con un nivel de confianza prescrito.
Escalabilidad: Variantes ligeras que particionan identidades largas en fragmentos para reducir la complejidad computacional manteniendo las propiedades libres de sincronización.
Extensión a la Difusión: Una extensión del marco a modelos de difusión con algoritmos de compromiso de tokens eficientes y análisis probabilístico.

4. Resultados y Análisis

Robustez: El análisis muestra que una recuperación fiable requiere solo una redundancia pequeña incluso con tasas de corrupción de tokens elevadas. Por ejemplo, recuperar una identidad de 32 bits con un 99% de confianza en un canal con una tasa de error del 30% ( $p=0.3$ ) requiere solo 25 pares de tokens adicionales (un total de 57 pares).
Eficiencia: El algoritmo "Meet-in-the-Middle" permite una recuperación práctica para identidades de hasta $n \approx 60$ bits en estaciones de trabajo estándar. La fragmentación permite el manejo de identidades arbitrariamente largas.
Convergencia de la Difusión:
- El algoritmo de Compromiso Básico converge en $O(\ln N / \epsilon)$ iteraciones.
- El algoritmo de Compromiso Deslizante converge en $O(N)$ iteraciones, pero garantiza que las inconsistencias locales se resuelvan eventualmente en lugar de quedar congeladas.
- El algoritmo de Compromiso Refinado ofrece una tasa de compromiso inicial más rápida, pero introduce "agitación" (revocación de compromisos válidos) que puede retrasar la estabilidad completa de la secuencia en comparación con el enfoque Básico.

5. Significado y Reivindicaciones

El artículo afirma que su principal significancia radica en eliminar el problema de la sincronización, que ha sido una barrera fundamental para una marca de agua de LLM robusta. Al desacoplar los bits de la marca de agua de sus posiciones secuenciales, el método propuesto se mantiene robusto frente a las operaciones de edición que invalidan los esquemas existentes.

Además, los autores abogan por un cambio en la metodología de evaluación. En lugar de depender de experimentos extensos y específicos de cada modelo que quedan obsoletos rápidamente, proponen utilizar la abstracción del Canal Simétrico Binario. Esto permite una comparación matemática y fundamentada de los esquemas de marca de agua a través de diferentes modelos y estrategias de edición basada en un único parámetro: la probabilidad de error efectiva $p$ .

El artículo concluye que, si bien el BSC es una simplificación, proporciona una aproximación notablemente útil para los esquemas libres de sincronización, ya que todas las operaciones de edición acaban manifestándose como errores independientes en los bits de paridad recuperados. Este enfoque ofrece garantías explícitas sobre la probabilidad de recuperación y simplifica el diseño de sistemas de marca de agua robustos.