Résumé Technique : Échos au sein du Raisonnement : Filigranage Furtif et Efficace via la Chaîne de Pensée

1. Énoncé du Problème

Les modèles de langage de grande taille (LLM) dotés de capacités de raisonnement par Chaîne de Pensée (CoT) représentent une propriété intellectuelle de haute valeur, mais ils font face à des menaces sévères de vol non autorisé et de commercialisation sans licence. Les méthodes existantes de filigranage en boîte noire peinent à équilibrer robustesse et utilité du modèle.

• Les approches basées sur les portes dérobées reposent sur des motifs déclencheur-action fixes, ce qui force les modèles à surapprendre, compromettant ainsi la fidélité sur des tâches complexes et la généralisation. Elles sont également vulnérables à la détection et au filtrage si les déclencheurs sont divulgués.
• Les approches basées sur l'édition de modèle traitent les filigranes comme des connaissances statiques à mémoriser via des modèles rigides, les rendant fragiles face aux décalages de distribution ou aux attaques adaptatives sur les structures d'invite.
• Limite Fondamentale : Les deux paradigmes vérifient généralement la propriété en modifiant la Réponse Finale. Cela crée un conflit à somme nulle entre la justesse (utilité) et la force du filigranage. Modifier la réponse finale dégrade souvent les performances du modèle sur les tâches en aval.

L'article postule qu'un paradigme existe pour atteindre à la fois la furtivité et l'efficacité tout en préservant strictement la fidélité du modèle, en déplaçant l'espace de vérification de la réponse finale vers le processus de Chaîne de Pensée (CoT).

2. Méthodologie : BiCoT

Les auteurs proposent BiCoT (Chaîne de Pensée Bi-niveau), un cadre de filigranage qui intègre des signaux de propriété dans la géométrie interne des traces de raisonnement plutôt que dans la sortie finale. La méthode opère en trois étapes :

A. Formulation Géométrique (Étape I)

BiCoT modélise l'état latent du LLM comme une trajectoire sur une Variété de Raisonnement de haute dimension.

• Ancres Structurelles : Grâce à une analyse de saillance des gradients, les auteurs identifient que des tokens spécifiques (par exemple, des chiffres dans le raisonnement mathématique, des connecteurs logiques dans d'autres domaines) agissent comme des « ancres structurelles » qui gouvernent de manière disproportionnée la dynamique du raisonnement.
• Alignement de Variété : Le cadre définit un Sous-espace de Signature privé ($S_v$) paramétré par un vecteur unitaire $v$.
  • Tokens Ancres : Leurs états cachés sont contraints de s'effondrer sur le sous-espace de signature ($\cos(h_t, v) \to 1$).
  • Tokens de Contrôle : Les tokens linguistiques ordinaires (connecteurs, mots-outils) sont contraints de rester orthogonaux à la signature ($\cos(h_t, v) \to 0$) pour préserver la capacité sémantique et la fidélité du raisonnement.
• Halo Causal : Les tokens suivant immédiatement une ancre sont traités comme une catégorie distincte ; ils peuvent présenter un alignement résiduel à courte portée mais décroissent rapidement, garantissant que le filigrane ne contamine pas globalement le texte ordinaire.

B. Injection du Filigrane (Étape II)

Le processus d'injection est formulé comme un problème d'Optimisation Bi-niveau :

• Boucle Intérieure : Calcule une perturbation virtuelle d'état caché ($\delta^*$) qui maximise la projection des états d'ancre sur le sous-espace de signature.
• Boucle Extérieure : Met à jour les paramètres du modèle ($\theta$) pour minimiser une objective combinée :
  1. Perte de Tâche ($L_{task}$) : Assure que le modèle maintient ses performances sur les tâches de raisonnement en aval.
  2. Perte Géométrique ($L_{geo}$) : Impose l'effondrement des ancres vers la signature et l'orthogonalité des tokens de contrôle.
  3. Régularisateur de Cohérence ($L_{KL}$) : Maintient la cohérence locale entre le modèle filigrané et le modèle de base sur les préfixes de CoT.
     Cette conception couple le filigrane avec des représentations pertinentes pour le raisonnement, rendant son retrait difficile sans perturber les caractéristiques qui soutiennent un raisonnement cohérent.

C. Enregistrement de Sous-espace Robuste (Étape III)

Pour faire face au décalage de représentation causé par des attaques (par exemple, fine-tuning, quantification), les auteurs introduisent l'Enregistrement de Sous-espace Robuste (RSR).

• Tokens Sentinelle : Un ensemble de tokens pré-identifiés, sensibles au sous-espace de signature, sont utilisés comme sondes.
• Calibration du Décalage : Le vérificateur estime le vecteur de décalage distributionnel systématique ($\hat{\mu}_{drift}$) en calculant la déviation médiane des tokens sentinelle par rapport à leurs statistiques de base.
• Ré-alignement : Les logits observés sont corrigés en soustrayant le décalage estimé, recentrant efficacement la variété décalée vers l'espace de signature canonique avant le test d'hypothèse.
• Vérification : Le système effectue un test d'hypothèse sur les logits calibrés des tokens sentinelle en utilisant uniquement les Top-$k$ log-probabilités (accès boîte noire).

3. Contributions Clés

1. Analyse Causale de la CoT : L'article révèle que la génération de CoT possède une hiérarchie causale distincte où des « ancres structurelles » spécifiques gouvernent la dynamique du raisonnement. Il démontre que la CoT offre un support plus riche, à plus haute capacité et plus diversifié pour les signaux que la réponse finale à faible entropie.
2. Cadre BiCoT : Un nouveau paradigme de filigranage qui intègre la propriété dans la géométrie de la variété de raisonnement. Il utilise une optimisation bi-niveau pour enchevêtrer le filigrane avec le processus de raisonnement lui-même tout en traitant les tokens de contrôle de manière orthogonale pour préserver l'utilité.
3. Vérification Robuste (RSR) : Un vérificateur en boîte noire capable de gérer le décalage de représentation via un enregistrement basé sur des sentinelles, assurant une détection fiable même sous des perturbations au niveau du modèle et des attaques adaptatives.

4. Résultats Expérimentaux

Les expériences ont été menées principalement sur Qwen2.5-7B-Instruct et validées sur Mistral-7B, DeepSeek-7B et Qwen2.5-14B.

• Détectabilité : BiCoT atteint un AUC de 1,0 et un Taux de Succès du Filigrane (WSR) de 100 % à des taux de faux positifs (FPR) de 0,1 % et 1,0 % sur tous les modèles testés, surpassant nettement les bases de référence telles que iSeal, llmmap et SEAL.
• Fidélité : Le modèle filigrané préserve les performances en aval. Sur les tâches de raisonnement (GSM8K), la dégradation des performances est marginale ($\approx -0,0083$). Sur les tâches de compréhension au niveau de la phrase, les fluctuations sont mineures, certaines tâches montrant même de légères améliorations.
• Robustesse :
  • Attaques au niveau du modèle : Le filigrane reste détectable (AUC $\approx$ 1,0) sous bruit gaussien, fine-tuning supervisé (SFT) à paramètres complets, fine-tuning efficace en paramètres (PEFT/LoRA) et quantification agressive (8 bits).
  • Attaques au niveau de la sortie : La méthode est résiliente face aux attaques adaptatives, y compris une attaque ciblée « ANCRE » où l'adversaire masque explicitement les tokens numériques lors de l'inférence. Le filigrane persiste en raison de la redistribution intrinsèque des mécanismes d'attention.
• Études d'ablation : La suppression de la perte de filigrane entraîne une performance équivalente à une devinette aléatoire. La suppression du mécanisme de Ré-ancrage (RSR) provoque une chute catastrophique de la détection en cas de décalage, validant sa nécessité.

5. Signification et Revendications

L'article revendique que BiCoT résout le compromis fondamental entre la force du filigranage et l'utilité du modèle en découplant le signal de vérification de la réponse finale. En intégrant la propriété dans la géométrie du processus de raisonnement, la méthode atteint :

• Furtivité : Le filigrane est invisible dans le texte de sortie final et ne repose pas sur des déclencheurs fragiles.
• Efficacité : Il fournit une détection robuste contre les attaques adaptatives et le décalage du modèle.
• Fidélité : Il préserve strictement les capacités de raisonnement du modèle et sa généralisation.

Les auteurs soulignent que cette approche soutient la provenance des modèles et la protection de la propriété intellectuelle pour les LLM open-source et commerciaux sans compromettre leur utilité en tant que moteurs de raisonnement. Le travail suppose un cadre en boîte noire activé par logprob (accès aux Top-$k$ probabilités du token suivant), que les auteurs considèrent comme une limite pratique pour de nombreux déploiements d'API modernes, plutôt qu'une hypothèse d'oracle irréaliste.