🤖 machine learning

RAFP: Identifying LLM Lineages via Rare-Region Fingerprints

Cet article présente RAFP, un cadre non invasif qui identifie de manière robuste la propriété des LLM en exploitant des empreintes de régions rares stables qui persistent à travers diverses adaptations en aval telles que l'ajustement fin et la quantification, surpassant les méthodes existantes dans des contextes de boîte noire.

Auteurs originaux : Yun-Yun Tsai, Jia Hao Liang, Chuan Guo, Junfeng Yang, Laurens van der Maaten

Publié 2026-07-15

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Yun-Yun Tsai, Jia Hao Liang, Chuan Guo, Junfeng Yang, Laurens van der Maaten

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous ayez cuit une recette de cookies secrète et mondialement célèbre. Vous craignez que quelqu'un ne vole votre pâte, n'ajuste légèrement le glaçage, et le vende comme étant le sien. Comment prouver que ce sont vos cookies sans montrer votre livre de recettes ?

C'est le problème des grands modèles de langage (LLM). Ce sont ces cerveaux d'IA super intelligents qui écrivent des histoires, du code et des blagues. Les entreprises dépensent des millions pour les entraîner, mais une fois qu'ils sont publiés, il est difficile de dire si une nouvelle version, légèrement différente, est en fait une copie volée.

Entrez en scène RAFP (Rare-Region Fingerprints - Empreintes de régions rares), une nouvelle méthode proposée par des chercheurs de l'Université Columbia et de Meta. Considérez RAFP comme une façon de laisser des « miettes de cookies » invisibles et ineffaçables dans le cerveau de l'IA, que seul le créateur original sait comment trouver.

La recette secrète : Pourquoi les questions « bizarres » fonctionnent

La plupart des gens essaient de protéger l'IA en l'entraînant à répondre parfaitement à des questions spécifiques. Mais les chercheurs ont trouvé une faille dans cette logique : si vous entraînez une IA à répondre à une question, puis que quelqu'un d'autre modifie l'IA (un processus appelé « finetuning » ou ajustement fin), l'IA peut oublier cette réponse spécifique parce que le nouvel entraînement écrase l'ancien.

L'équipe RAFP a réalisé quelque chose de contre-intuitif : les modèles d'IA sont en réalité mauvais pour répondre à des questions bizarres ou rares.

Imaginez qu'une IA ait lu presque tous les livres de la bibliothèque. Elle sait exactement comment répondre à « Quelle est la capitale de la France ? » (une question commune, à haute densité). Mais si vous lui posez une question sur un mot inventé ou une phrase bizarre et absurde (une « région rare »), l'IA trébuche. Elle n'a pas d'opinion tranchée sur ces choses bizarres car elle les rencontre rarement.

Voici le tour de magie : Parce que l'IA ne se soucie pas beaucoup de ces questions bizarres, changer les données d'entraînement de l'IA ne change pas sa réponse à celles-ci.

Lorsqu'on tente de « voler » le modèle en le réentraînant sur de nouvelles données, on se concentre sur les choses courantes (comme corriger la grammaire ou apprendre de nouveaux faits). On ignore les questions bizarres et rares parce que ces questions n'apparaissent pas dans les nouvelles données d'entraînement. Ainsi, la réponse de l'IA à la question bizarre reste exactement la même, comme un rocher têtu dans une rivière tumultueuse.

Comment l'« empreinte » est créée

Les chercheurs n'ont pas eu besoin de forcer le code de l'IA ou de modifier ses poids (ce qui reviendrait à essayer de réécrire la recette pendant que les cookies cuisent). À la place, ils ont utilisé une recherche astucieuse :

Trouver l'étrangeté : Ils ont utilisé un programme informatique pour traquer une phrase qui est extrêmement improbable de se produire naturellement. C'est comme trouver une phrase qui donne l'impression qu'un robot essaie de parler une langue qu'il ne connaît pas.
Verrouiller la réponse : Ils ont demandé à l'IA ce qu'elle dirait en réponse à cette phrase bizarre.
L'engagement : Le propriétaire note la phrase bizarre et la réponse, puis les verrouille dans un coffre numérique (un hachage cryptographique) avant même la publication du modèle.

Plus tard, si l'on soupçonne qu'un modèle est volé, on pose la question bizarre au modèle suspect. Si le modèle donne exactement la même réponse bizarre, c'est une correspondance ! Si le modèle donne une réponse différente (ou une réponse normale), il s'agit probablement d'un modèle totalement différent.

Est-ce que cela fonctionne vraiment ?

Les chercheurs ont testé cette méthode sur quatre familles différentes de modèles d'IA (incluant Llama 2, Llama 3 et Mistral). Ils n'ont pas seulement testé les modèles originaux, ils ont tenté de briser l'empreinte en :

Réentraînant : En apprenant de nouvelles choses au modèle (Apprentissage supervisé ou Supervised Finetuning).
Changeant la « personnalité » : En ajustant la façon dont le modèle parle (changements de System Prompt).
Compressant : En rendant le modèle plus petit et plus rapide (Quantification).
Changeant la température : En rendant le modèle plus aléatoire ou plus sérieux.

Les résultats :

Efficacité : Dans les tests sur les modèles originaux, RAFP a correctement identifié le modèle 100 % du temps.
Robustesse : Même après avoir été lourdement modifiés, les modèles ont été identifiés par RAFP 93 % à 100 % du temps.
Comparaison : D'autres méthodes, comme tenter de « marquer » l'IA en changeant ses paramètres internes, ont échoué bien plus souvent. Certaines sont tombées à seulement 23 % de succès après la modification du modèle. RAFP est resté solide.

L'article montre également que cette méthode fonctionne même si le modèle suspect tente de filtrer les questions bizarres. En rendant les questions « rares » légèrement moins bizarres (mais toujours assez rares), l'empreinte a survécu à un « filtre de perplexité » qui aurait bloqué d'autres types de codes cachés.

Ce que ce n'est PAS

L'article précise avec prudence ce que cela ne fait pas.

Ce n'est pas un bouclier magique contre toutes les attaques possibles. Si quelqu'un réécrit complètement l'IA à partir de zéro ou utilise une méthode très coûteuse ciblant spécifiquement ces questions rares, l'empreinte pourrait disparaître.
Cela ne nécessite pas que le propriétaire ait accès au code interne du modèle volé. Cela fonctionne dans un environnement de « boîte noire », ce qui signifie que vous pouvez seulement communiquer avec le modèle via une fenêtre de chat, comme un utilisateur normal.
Cela ne change pas les performances du modèle. L'IA continue de bien écrire des histoires et de répondre aux questions normales ; l'empreinte n'est qu'un effet secondaire caché de la façon dont le modèle traite les choses étranges.

L'essentiel à retenir

RAFP suggère que la meilleure façon de prouver qu'une IA est la vôtre n'est pas de la forcer à se souvenir de vos secrets, mais de trouver les recoins bizarres et oubliés de son cerveau que personne d'autre ne touche. Parce que ces recoins sont ignorés lors des mises à jour normales, la « signature » laissée là reste en place, agissant comme une carte d'identité durable et invisible pour le modèle.

Les chercheurs sont confiants dans ces résultats basés sur leurs expériences à travers plusieurs modèles et modifications, mais ils notent également qu'à mesure que l'IA évolue, de nouvelles attaques plus puissantes pourraient émerger. Pour l'instant, cependant, ce tour de passe-passe des « régions rares » semble être un moyen très robuste de prendre les voleurs de modèles sur le fait.

Résumé Technique : RAFP - Identification des lignées de LLM via des empreintes de régions rares

1. Énoncé du Problème

La commercialisation rapide des modèles de langage étendus (LLM) a intensifié la nécessité de mécanismes robustes pour protéger la propriété intellectuelle (PI) des modèles et vérifier leur propriété. Une vulnérabilité critique est le vol de modèle, où des adversaires accèdent à des modèles propriétaires et les réutilisent en violation des accords de licence, particulièrement dans les déploiements sous licence restreinte ou sur site (on-premise).

Les méthodes de détection existantes présentent des limites significatives :

Fragilité : Les techniques traditionnelles basées sur la similitude et de nombreuses méthodes d'empreinte digitale échouent face aux modifications courantes en aval, telles que le réglage fin supervisé (SFT), l'adaptation de faible rang (LoRA), la quantification et l'élagage (pruning).
Invasivité : Certaines approches nécessitent de modifier les poids du modèle pendant l'entraînement (par exemple, le tatouage numérique via le biais de jetons ou l'insertion de portes dérobées/backdoors), ce qui peut dégrader les performances du modèle ou nécessiter un accès "boîte blanche" (white-box).
Inaccessibilité "Boîte Noire" : De nombreux scénarios réels ne permettent qu'un accès via API aux modèles suspects, empêissant l'inspection directe des poids. Les méthodes actuelles peinent souvent à identifier la lignée sans accès direct aux paramètres.

Le défi central est de développer une méthode non invasive, de type "boîte noire" (black-box) et robuste pour identifier les lignées de LLM qui persiste à travers les adaptations standards préservant la valeur.

2. Méthodologie : RAFP

Les auteurs proposent RAFP (Robust Adversarial Rare-region FingerPrints), un cadre qui identifie les lignées de LLM en apprenant des paires prompt-réponse uniques dérivées des régions rares de la distribution pré-entraînée du modèle.

Concept Fondamental

L'hypothèse fondamentale est que le réglage fin (finetuning) en aval modifie principalement les comportements linguistiques à haute densité (motifs communs dans les données d'entraînement). À l'inverse, les régions de faible probabilité (rares) reçoivent des signaux d'optimisation faibles et présentent un alignement de gradient limité lors du réglage fin. Par conséquent, les motifs comportementaux des paires prompt-réponse rares restent largement invariants à travers les adaptations courantes des modèles.

Composantes du Cadre

RAFP opère en deux étapes :

A. Génération de l'Empreinte Digitale

RAFP construit des empreintes sous forme de paires $(x, y)$ où $x$ est un prompt et $y$ est une réponse. Le processus de génération est non invasif (ne modifie pas les poids du modèle) et suit une procédure en trois étapes :

Initialisation du Prompt : Les prompts candidats sont initialisés en échantillonnant uniformément des jetons aléatoires pour les $l$ premiers jetons et en utilisant l'échantillonnage bottom-k pour le reste. Cela biaise la recherche vers les régions de faible probabilité de la distribution pré-entraînée du modèle.
Génération de la Réponse : Une réponse $y$ est générée en utilisant le décodage glouton (greedy decoding, échantillonnage top-1) étant donné le prompt initialisé et un prompt système.
Optimisation du Prompt : Le prompt $x$ est optimisé pour maximiser la vraisemblance de générer $y$ en utilisant le Gradient de Coordonnées Glouton (GCG). L'objectif est $\max_x \log p_{M_\theta}(y | h, x)$ .

Optimisations Pratiques pour la Robustesse :

Optimisation Multi-tâches : Les empreintes sont optimisées conjointement sur plusieurs variantes de modèles adaptés et différents prompts système pour assurer la stabilité face aux variations naturelles.
Optimisation Multi-essais : Pour éviter les optima locaux fragiles, un candidat d'empreinte n'est accepté que s'il optimise avec succès plusieurs exécutions indépendantes (par exemple, $n=20$ essais).

B. Vérification de la Propriété

Le protocole sépare la détection de la divulgation pour empêcher le filtrage par un adversaire :

Engagement (Commitment) : Avant le déploiement, le propriétaire du modèle génère un ensemble d'empreintes et publie leurs empreintes cryptographiques (par exemple, SHA-256) comme engagements sur une plateforme publique horodatée.
Vérification : Étant donné un modèle suspect $M_{\theta'}$ , le propriétaire l'interroge avec les prompts d'empreinte non révélés. Si le modèle reproduit les réponses engagées $y$ , la propriété est vérifiée en révélant la paire prompt-réponse originale.
Rejet : Le système teste également des lignées de modèles non liées pour confirmer que l'empreinte est unique et ne déclenche pas de faux positifs.

Analyse Théorique

L'article fournit une borne théorique sur le changement de log-vraisemblance ( $\Delta$ ) d'une empreinte de région rare après le réglage fin.

Hypothèses : Les prompts rares occupent une faible masse de probabilité ( $\rho(\tau) \ll 1$ ) dans la distribution de réglage fin en aval, et les gradients sont bornés.
Résultat : Le changement de log-vraisemblance est limité par des termes liés à la rareté du prompt et à la concentration des gradients. Plus précisément, parce que les prompts rares apparaissent peu fréquemment dans les données de réglage fin et que leurs gradients ont un faible alignement avec les directions dominantes de haute densité, la probabilité de la réponse de l'empreinte ne change que légèrement.

3. Principales Contributions

Cadre Novateur : Introduction de RAFP, une méthode non invasive et de type boîte noire pour l'identification de la lignée de LLM, reposant sur l'invariance structurelle des comportements des régions rares.
Garantie Théorique : Une preuve formelle démontrant que le changement de vraisemblance des empreintes de régions rares sous réglage fin reste borné, expliquant la robustesse de la méthode.
Évaluation Complète : Expérimentations approfondies sur quatre familles de LLM (Llama 2 7B/13B, Llama 3 8B, Mistral 7B) et diverses adaptations en aval (SFT, LoRA, quantification, variations de prompt système).
Analyse de Sécurité : Démonstration de la robustesse face à des attaques pratiques, incluant le filtrage basé sur la perplexité et les attaques de course (race attacks).

4. Résultats Expérimentaux

Les auteurs ont évalué RAFP par rapport à des bases de référence incluant le réglage fin instructionnel (IF-SFT, IF-Emb) et le tatouage numérique basé sur GCG.

Efficacité : RAFP a atteint un Taux de Vrais Positifs (TPR) de 100 % sur les quatre modèles de base, surpassant les bases de référence GCG et égalant IF-SFT sans dégrader l'utilité du modèle.
Robustesse : Sous réglage fin en aval (SFT et LoRA), RAFP a maintenu un TPR de 92 à 100 %. En revanche, IF-SFT et IF-Emb ont subi une dégradation significative (chute de 10 à 35 %), et les bases de référence GCG sont tombées à 23–63 %.
Unicité : Dans les contextes de boîte noire, RAFP a identifié avec succès tous les modèles ajustés pertinents tout en maintenant un Taux de Faux Positifs (FPR) de 0 % sur les modèles non liés, distinguant efficacement les lignées.
Études d'Ablation :
- Filtrage par Perplexité : RAFP, optimisé avec une régularisation de la perplexité, a réduit les taux de rejet par les filtres d'API tout en maintenant un TPR élevé.
- Modèles de Prompt (Templates) : RAFP a montré une dégradation minimale du TPR (10–30 %) à travers différents modèles de prompt (Vicuna, Alpaca, Zero-Shot), surpassant les bases de référence.
- Hyperparamètres : RAFP a maintenu un TPR élevé à travers différentes températures d'inférence (0.1–0.7), alors que GCG-QA se dégradait considérablement à des températures plus élevées.

5. Signification et Revendications

L'article affirme que RAFP représente une avancée significative dans la protection de la PI des LLM en abordant le compromis entre robustesse et invasivité.

Robustesse : Contrairement aux méthodes antérieures qui échouent sous des adaptations courantes, RAFP exploite l'"invariance" des régions rares pour survivre au réglage fin, à la quantification et au prompt engineering.
Non-Invasivité : Elle ne nécessite pas de modifier les poids du modèle ni d'introduire des biais de sortie, préservant l'utilité originale du modèle.
Viabilité en Boîte Noire : Elle permet la vérification de la propriété dans des scénarios où seul un accès API est disponible, une exigence critique pour le déploiement réel.
Sécurité : La séparation de l'engagement (hachages) et de la divulgation (requêtes) empêche les adversaires de filtrer les empreintes avant la vérification.

Les auteurs reconnaissent des limites, notant que RAFP peut être vulnérable à des adaptations fortes comme la distillation ou la re-paramétrisation adversaire, et que l'interrogation en boîte noire fait face à des défis concernant les coûts d'API et les filtrages sophistiqués. Cependant, dans le cadre de modifications "économiquement viables", RAFP offre une solution robuste pour le suivi des lignées.