🤖 machine learning

TRACE: A Two-Channel Robust Attribution Watermark via Complementary Embeddings for LLM-Agent Trajectories

Cet article introduit TRACE, un nouveau tatouage numérique d'attribution robuste à deux canaux pour les trajectoires d'agents LLM qui garantit des choix d'actions sans distorsion et un suivi de provenance incassable en superposant un canal de sélection indexé sur le contenu et un canal de décompte indexé sur la position, survivant ainsi aux tentatives de suppression et de réécriture adverses des revendeurs.

Auteurs originaux : Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Jiaojiao Jiang, Yang Song, Yulei Sui, Zhenchang Xing, Liming Zhu

Publié 2026-07-10

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Jiaojiao Jiang, Yang Song, Yulei Sui, Zhenchang Xing, Liming Zhu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous ayez construit un assistant robotique super intelligent capable de réserver des vols, de commander une pizza et de réparer votre Wi-Fi. Vous vendez ce robot à un intermédiaire (un « revendeur ») qui le loue ensuite à des clients. Le problème ? L'intermédiaire pourrait essayer de faire passer un robot moins cher pour le vôtre, prétendre qu'il l'a lui-même construit, ou simplement manipuler les journaux de bord pour effacer ses traces.

D'habitude, pour prouver qui est à l'origine des décisions d'un robot, on examine son « journal », un registre de chaque outil utilisé et de chaque action entreprise. Mais si l'intermédiaire possède le journal, il peut en effacer les pages ou réécrire l'histoire pour faire croire que c'est lui qui a fait le travail. Les tatouages numériques existants sont comme de l'encre invisible écrite sur les pages du journal ; si l'intermédiaire réécrit le texte, l'encre disparaît.

Entrez en scène TRACE, un nouveau type d'empreinte numérique conçu pour survivre même lorsque le propriétaire du journal tente de l'effacer proprement. TRACE ne se contente pas d'écrire sur les pages ; il modifie l'histoire elle-même de deux manières astucieuses et invisibles, impossibles à annuler sans détruire le journal lui-même.

La magie du double canal

TRACE utilise deux « canaux » différents pour cacher sa preuve, comme un espion utilisant deux codes différents qui se protègent mutuellement.

1. Le canal de la « Choix » (La main invisible)
Imaginez que le robot doive choisir une porte par laquelle passer. Il y a cinq portes, mais une seule mène au trésor. Un robot normal choisit une porte selon sa propre logique. Le canal de « Choix » de TRACE agit comme une main magique et invisible qui pousse doucement le robot à choisir une porte spécifique sans modifier ses chances de succès.

Comment ça marche : Il utilise une clé secrète basée sur le contenu du récit jusqu'à présent pour décider quelle porte choisir.
Le superpouvoir : Si l'intermédiaire supprime une page du journal (une « attaque par suppression »), l'histoire saute, mais la main invisible se recalibre instantanément pour la page suivante. C'est comme un GPS qui recalcule l'itinéraire immédiatement si vous ratez un tournant. La preuve survit car elle est liée au contenu des choix, et non au numéro de la page.
Le bémol : Si l'intermédiaire réécrit l'histoire (en changeant « Porte A » par « La Porte Bleue »), ce canal se brise. La main invisible cherchait la « Porte A », et elle est maintenant confuse.

2. Le canal du « Compte » (La clé squelette)
Maintenant, imaginez que le journal du robot soit organisé en groupes : une décision, suivie de quelques observations. Le canal de « Compte » de TRACE ne se soucie pas des mots ; il se soucie de la structure. Il ajoute secrètement une « note fantôme » (une note redondante) à certains groupes, faisant en sorte qu'ils aient deux notes au lieu d'une.

Comment ça marche : Il utilise une clé secrète basée sur la position du groupe (le squelette du journal). Il décide : « Le Groupe 1 reçoit une note fantôme, le Groupe 2 n'en reçoit pas ».
Le superpouvoir : Si l'intermédiaire réécrit le texte (en changeant « Porte A » par « La Porte Bleue »), le nombre de notes dans le groupe reste le même. La structure est intacte. Ce canal est incassable face à la réécriture car l'intermédiaire ne peut pas changer le nombre de notes sans briser le format du journal.
Le bémol : Si l'intermédiaire supprime des pages, les comptes changent, et ce canal devient confus.

La défense « Double-Aveugle »

Voici la partie géniale : l'intermédiaire ne peut pas gagner.

S'il essaie de supprimer des pages pour masquer le canal de « Choix », le canal de « Compte » (qui repose sur la structure) reste parfait.
S'il essaie de réécrire le texte pour masquer le canal de « Compte », le canal de « Choix » (qui repose sur le contenu) reste parfait.
Pour effacer les deux, l'intermédiaire devrait supprimer 70 % du journal et réécrire presque tout le reste. Mais s'il fait cela, le journal est tellement endommagé qu'il devient inutile. Il aurait détruit le produit qu'il essayait de vendre !

Ce que disent les chiffres

Les chercheurs ont testé cela sur deux défis réels de robotique : ToolBench (tâches courtes, environ 1,4 étape de décision par tâche) et ALFWorld (tâches longues, environ 23 à 25 étapes de décision).

Aucun dommage au robot : TRACE est « sans distorsion ». Le robot réussit ses tâches aussi souvent qu'un robot sans tatouage numérique. En fait, sur ALFWorld, le robot sans tatouage réussissait 82,4 % du temps, tandis que TRACE réussissait à 83,6 %. D'autres tatouages qui tentaient de forcer les choix ont fait chuter les taux de réussite de 8,1 points !
Le score de détection : Sur les tâches longues (ALFWorld), le canal de « Choix » a atteint un score de détection de z = 100. C'est un signal incroyablement fort. Même si l'intermédiaire supprimait 70 % des étapes, le score restait au-dessus de la ligne de détection.
Le test de réécriture : Lorsqu'une IA très intelligente (le « réécrivain LLM ») a tenté de réécrire le journal pour masquer le tatouage, le canal de « Compte » est resté exactement le même. Son score n'a pas bougé. Pendant ce temps, les anciens tatouages (comme la méthode « Rouge-Vert ») sont tombés à presque zéro.
Le coût de la triche : Pour faire taire les deux canaux à la fois, l'attaquant doit corrompre une fraction constante des actions. L'article prouve mathématiquement qu'on ne peut pas simplement « éditer » pour s'en sortir ; il faut briser le service.

Ce que TRACE exclut

L'article est très clair sur ce qu'il ne fait pas :

Ce n'est pas un bouclier magique contre un intermédiaire qui remplacerait simplement le robot par un modèle complètement différent. Si l'intermédiaire arrête d'utiliser votre robot, il n'y a plus de tatouage à trouver.
Ce n'est pas une solution pour les tâches courtes si vous n'avez qu'un seul exemple. Sur ToolBench (tâches courtes), vous devez regrouper environ 10 trajectoires pour obtenir un signal fort, car il n'y a pas assez d'« entropie de décision » (hasard) dans une seule tâche courte.
Cela ne dépend pas de l'honnêteté de l'intermédiaire. Le système est conçu spécifiquement pour le scénario où la personne qui détient les preuves est l'ennemi.

L'essentiel à retenir

TRACE est le premier système capable de prouver que les actions d'un robot appartiennent à son créateur, même si la personne qui vend le robot a un accès total aux journaux et tente de les supprimer ou de les réécrire. Il fonctionne en divisant la preuve en deux parties : une qui survit aux suppressions et une qui survit aux réécritures. Les mathématiques montrent que pour vaincre TRACE, un attaquant doit détruire le service même qu'il essaie de vendre. C'est une méthode robuste et sans distorsion pour garder la vérité dans le journal, peu importe qui tient la plume.

Résumé Technique : TRACE – Un tatouage numérique robuste à deux canaux pour l'attribution de l'eau de source

1. Formulation du problème et modèle de menace

L'article traite du défi critique de l'attribution de la provenance pour les agents de Grands Modèles de Langage (LLM) dans un contexte d'adversaire spécifique : le modèle de menace du revendeur.

Contexte : Les agents LLM interagissent avec les utilisateurs via des revendeurs qui peuvent rebrander l'agent ou substituer le modèle sous-jacent. Lorsqu'un litige survient concernant la responsabilité ou l'utilisation, la preuve principale est le journal de trajectoire (un enregistrement des appels d'outils, des observations et des actions exécutées), et non le raisonnement interne du modèle.
L'adversaire : Le revendeur possède un accès complet en lecture/écriture au journal de trajectoire car il doit le traiter pour la facturation et la mesure de l'usage. Il est l'entité qui audite la preuve.
L'attaque : Le revendeur tente de supprimer l'attribution en effectuant deux mouvements de « blanchiment » spécifiques :
1. Suppression (Deletion) : Élague le journal (supprime des étapes ou des observations) pour retirer les enregistrements identifiant le fournisseur.
2. Réécriture (Rewriting) : Paraphrase les observations et renomme les outils selon l'espace de noms du revendeur tout en préservant le squelette structurel du journal (la séquence des balises de décision/observation).
La limitation des méthodes existantes : Les tatouages numériques d'agents précédents (ex: Agent Guide, AgentMark) reposent sur un signal unique lié soit au contenu, soit à la position.
- Les clés basées sur le contenu échouent lors de la réécriture (car le contenu est altéré).
- Les clés basées sur la position échouent lors de la suppression (car la séquence se désynchronise).
- Les méthodes existantes manquent de robustesse face à un adversaire qui possède l'évidence elle-même.

2. Méthodologie : Le schéma TRACE

Les auteurs proposent TRACE, un schéma de tatouage numérique à deux canaux qui superpose deux tatouages indépendants et complémentaires sur une seule trajectoire. Le principe de conception central est que chaque canal cible un invariant différent, préservé par une classe d'attaque mais détruit par l'autre.

A. Le canal de sélection (lié au contenu)

Objectif : Robustesse contre la Suppression (Deletion).
Mécanisme :
- Support (Carrier) : L'action spécifique ( $b_i$ ) sélectionnée par l'agent à chaque point de décision.
- Clé (Keying) : Dérivée du contenu local de l'historique des actions précédentes ( $A_{i-1}$ ) et d'une clé secrète ( $key_1$ ).
- Insertion (Embedding) : Utilise une course exponentielle sans distorsion (basée sur l'astuce Gumbel-max). L'agent échantillonne exactement sa distribution d'origine $P_i$ , mais le « vainqueur » de la course est déterminé par une valeur aléatoire clé-ée.
- Détection : Le détecteur rejoue la course en utilisant la trajectoire observée et la clé. Si l'action observée était la « gagnante » de la course clé-ée, il génère un score élevé.
- Robustesse : Puisque la clé dépend du contenu, la suppression d'un enregistrement d'observation ne désynchronise la clé que pour le groupe suivant immédiat (rayon d'impact d'une unité). Le détecteur se resynchronise immédiatement après la suppression.
- Coût : Le signal est borné par l'entropie de Shannon de la décision. Les décisions déterministes (entropie = 0) ne produisent aucun signal ; les décisions à haute entropie produisent des signaux plus forts.
B. Le canal de comptage (lié à la position)
Objectif : Robustesse contre la Réécriture (Rewriting).
Mécanisme :
- Support (Carrier) : Le nombre d'enregistrements ( $k_i$ ) dans un groupe de décision (spécifiquement, si un enregistrement d'observation redondant est ajouté).
- Clé (Keying) : Dérivée strictement du squelette de la trajectoire (la séquence des balises décision/observation) et d'une clé secrète ( $key_2$ ). Elle est indépendante du contenu textuel.
- Insertion (Embedding) : Pour les groupes où la condition clé-ée est remplie, l'inséreur ajoute un enregistrement redondant neutre vis-à-vis du contexte. Cet enregistrement est une fonction déterministe du préfixe, n'invoque aucun outil et ne cause aucun effet secondaire, garantissant qu'il n'altère pas les décisions futures de l'agent.
- Détection : Le détecteur compte les enregistrements dans chaque groupe et les compare au modèle attendu dérivé du squelette.
- Robustesse : Les attaques de réécriture préservent le squelette (la séquence des balises). Par conséquent, les limites de groupe et les comptes restent inchangés. Le canal de comptage est inconditionnellement invariant sous toute attaque de réécriture qui préserve le squelette.

C. Détection conjointe

Le détecteur calcule un score $z$ pour les deux canaux. Il rejette l'hypothèse nulle (que la trajectoire n'est pas tatouée) si la valeur $p$ minimale des deux canaux est inférieure à un seuil. Les deux canaux sont conçus pour être indépendants sous l'hypothèse nulle.

3. Principales contributions

Modèle de menace formalisé : L'article formalise le modèle de menace du revendeur où l'adversaire possède un accès complet en lecture/écriture aux preuves, définissant la Suppression et la Réécriture comme des classes d'attaques distinctes.
Architecture à deux canaux : TRACE est le premier tatouage d'agent capable d'atteindre simultanément :
- Des choix d'actions sans distorsion : La distribution de l'agent est prouvablement inchangée.
- Une auto-synchronisation sous suppression : Le canal de sélection se récupère après une seule suppression.
- Une invariance inconditionnelle sous réécriture : Le canal de comptage reste inchangé quelle que soit la modification du contenu.
Garanties théoriques :
- Préservation de l'utilité : Prouvé que le canal de sélection ne modifie pas la distribution d'action de l'agent (Théorème 5.1).
- Compromis Entropie-Détectabilité : Prouvé que la force du signal est bornée inférieurement par la moitié de l'entropie de la décision (Théorème 5.2).
- Coût d'effacement conjoint : Prouvé que l'effacement des deux canaux simultanément force l'adversaire soit à éditer le squelette (s'exposant ainsi à des audits de cohérence), soit à corrompre une fraction constante de la trajectoire, détruisant ainsi l'efficacité du service (Théorème 5.4).
Nouvelle base de comparaison d'attaque : Introduction du Réécrivain LLM (LLM Rewriter), une attaque informée et préservant la plausibilité qui substitue les actions par des alternatives différentes mais plausibles, servant de benchmark rigoureux pour la robustesse à la réécriture.

4. Résultats expérimentaux

Le schéma a été évalué sur ToolBench (horizon court, ~1,4 groupe de décision/tâche) et ALFWorld (horizon long, ~23-25 étapes de décision/tâche).

Utilité : TRACE égale le taux de réussite de l'agent non tatoué (Base) sur les deux benchmarks. En revanche, les tatouages biaisés (comme la base Rouge-Vert) souffrent de baisses significatives du taux de réussite (jusqu'à 8,1 points sur ALFWorld) en raison du déplacement de la masse de probabilité lors de décisions à faible entropie.
Puissance de détection :
- Journaux propres : TRACE atteint des scores de détection extrêmement élevés ( $z \approx 100$ pour la sélection sur ALFWorld).
- Suppression : Le canal de sélection reste détectable même sous une suppression de 70 % des étapes ( $z$ passe de 11,34 à 4,06 mais reste au-dessus du seuil).
- Réécriture : Le canal de comptage reste exactement invariant ( $z$ reste constant à ~14,34) sous une intensité de réécriture de 100 %. Inversement, les bases fondées sur le contenu (RG, AM-F) s'effondrent vers des scores proches de zéro ou négatifs sous la réécriture.
- Attaques combinées : Seul le cas limite d'une suppression élevée (70 %) combinée à une réécriture élevée (>60 %) supprime les deux canaux. Cela correspond à un scénario où le revendeur a déjà détruit l'utilité du service.

5. Signification et affirmations

L'article affirme que TRACE fournit une solution structurelle au problème de la provenance dans le cadre de la revente, allant au-delà de la robustesse empirique pour proposer des garanties mathématiques.

Responsabilité : Cela permet l'attribution même lorsque l'entité détenant les journaux (le revendeur) est l'adversaire.
Invariants complémentaires : Ce travail démontre que la robustesse peut être obtenue en divisant le signal entre des invariants complémentaires (contenu vs squelette), garantissant qu'aucune classe d'attaque unique ne peut détruire le tatouage sans détruire le produit lui-même.
Sans distorsion : Il prouve qu'un tatouage comportemental peut être réalisé sans dégrader les performances de tâche de l'agent, une exigence critique pour le déploiement.
Limites : Les auteurs notent que la détection nécessite l'accès aux ensembles d'actions candidats au moment de l'audit et que le canal de comptage augmente le volume des journaux (surcoût de stockage) plutôt que les appels d'outils. Ils reconnaissent également que si un revendeur abandonne complètement l'agent du fournisseur et relance la tâche sur un autre modèle, le tatouage sera absent, bien que cette absence signale elle-même la fausse déclaration.

L'article conclut que si aucun schéma à signal unique ne peut survivre à un adversaire ayant un contrôle total sur l'évidence, une approche à deux canaux exploitant des empreintes complémentaires peut rendre le coût du blanchiment de journal prohibitif.