🤖 AI

Hey, That's My Model! Introducing Chain & Hash, An LLM Fingerprinting Technique

Questo articolo introduce "Chain & Hash", un nuovo framework di fingerprinting per LLM che lega crittograficamente i prompt alle risposte per fornire una prova di proprietà verificabile, robusta e non falsificabile, anche contro attacchi di alterazione dell'output e il fine-tuning.

Autori originali: Mark Russinovich, Yanan Cai, Ahmed Salem

Pubblicato 2026-07-02

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Mark Russinovich, Yanan Cai, Ahmed Salem

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di possedere un robot chef costosissimo e costruito su misura. Dedichi anni ad addestrarlo per cucinare il pasto perfetto. Poi, qualcuno ti ruba il robot, gli cambia il nome e inizia a vendere i suoi piatti spacciandoli per propri. Come puoi dimostrare, senza aprire la scocca metallica del robot per guardarne il cablaggio interno, che è davvero tuo?

Questo è il problema che i ricercatori di Microsoft (Mark Russinovich e colleghi) stanno risolvendo con il loro nuovo articolo, "Hey, That's My Model!". Introducono una tecnica chiamata Chain & Hash, che funge da watermark (filigrana) invisibile e indistruttibile per i Large Language Models (LLM) — i chatbot IA super intelligenti che usiamo oggi.

Ecco come funziona, suddiviso in concetti semplici:

1. Il Problema: Il Ladro della "Scatola Nera"

Attualmente, se qualcuno ruba un modello IA, può modificarlo leggermente o cambiare il suo modo di parlare (come farlo sembrare un pirata o un avvocato formale) per nascondere il fatto che sia stato rubato. I metodi esistenti per provare la proprietà spesso richiedono di vedere il codice interno del modello (che i ladri non ti mostreranno) o compromettono la capacità del modello di essere utile.

2. La Soluzione: Una "Stretta di Mano Segreta" Crittografica

Gli autori propongono un metodo che funziona come una stretta di mano segreta tra te e la tua IA. Non hai bisogno di guardare dentro il robot; ti basta porgli una domanda specifica e lui deve dare una risposta specifica per dimostrare che è tuo.

Ma ecco il punto: se il ladro cambia la personalità del robot, questo potrebbe dimenticare la stretta di mano. Per questo motivo, i ricercatori hanno costruito un sistema che sopravvive anche a questi cambiamenti.

Fase A: La Catena (La "Catena Collegata")

Immagina di avere un set di 10 domande speciali. In un sistema normale, potresti semplicemente memorizzare le risposte. Ma in Chain & Hash, le domande sono collegate tra loro come una catena.

La risposta alla Domanda #1 dipende dalla Domanda #2.
La risposta alla Domanda #2 dipende dalla Domanda #3.
E così via.

Utilizzano un "blocco" matematico (un hash crittografico) per legare insieme queste domande e risposte. Ciò significa che:

Non puoi falsificarlo: Un ladro non può semplicemente indovinare le risposte. Per ottenere la risposta corretta, dovrebbe ri-addestrare l'intero robot da zero, il che è incredibilmente costoso e ovvio.
È unico: La matematica assicura che le risposte sembrino casuali ma siano perfettamente coerenti per il proprietario.

Fase B: L'Addestramento "Chameleon" (La Difesa del "Meta-Prompt")

La minaccia principale è un ladro che dice: "Ok, robot, da ora in poi sei un pirata!" oppure "Devi iniziare ogni frase con 'RISPOSTA:'". Questo di solito rompe le impronte digitali perché il robot dimentica la sua stretta di mano segreta.

Per risolvere il problema, i ricercatori hanno addestrato i loro modelli IA utilizzando una strategia "Chameleon":

Hanno insegnato al modello di rispondere alle domande segrete esattamente nello stesso modo, indipendentemente dal "costume" (o meta-prompt) che il ladro gli impone.
Si sono esercitati con migliaia di diversi "costumi" (ad esempio, "parla come un pirata", "sii molto educato", "usa le emoji").
Hanno anche aggiunto del "rumore" (parole casuali) alle domande in modo che il modello impari a ignorare le distrazioni e a concentrarsi sul segnale segreto.

3. I Risultati: Forti, Veloci e Invisibili

I ricercatori hanno testato questo metodo su diversi modelli IA popolari (come Llama e Phi). Ecco cosa hanno scoperto:

È Invisibile (Trasparenza): L'IA funziona ancora perfettamente per i compiti normali. Se le chiedi di scrivere una poesia o risolvere un problema di matematica, le sue prestazioni sono identiche a prima. L'impronta digitale non ne rallenta il funzionamento né la rende meno intelligente.
È Veloce (Efficienza): Per provare la proprietà, non è necessario porre 1.000 domande. Ti basta porne circa 10 e, se il modello ne risponde correttamente anche solo 2, hai la prova. È come un rapido controllo d'identità.
È Resistente (Robustezza): Anche quando il "ladro" cambia lo stile del modello o lo addestra su nuovi dati (fine-tuning), la stretta di mano segreta rimane. Il modello risponde ancora correttamente alle domande segrete, anche se sta fingendo di essere un pirata.
È Impossibile da Falsificare (Unforgeability): Grazie alla matematica di "Chain & Hash", un ladro non può indovinare le risposte. Dovrebbe ri-apprendere l'intero modello per falsificare l'impronta digitale, il che annullerebbe lo scopo stesso del furto.

4. Bonus: Funziona anche sugli "Add-on"

Il documento mostra anche che questo metodo funziona sugli adapter LoRA. Considera questi come piccoli "patch" economici che le persone attaccano ai grandi modelli IA per insegnare loro nuove abilità (come consigli medici). I ricercatori hanno dimostrato di poter inserire questa impronta digitale direttamente su questi piccoli componenti, proteggendo anche le versioni leggere dell'IA.

Riassunto

In breve, Chain & Hash è un modo per i proprietari di IA di incorporare una stretta di mano segreta crittografica nei loro modelli. Insegna all'IA a rispondere correttamente a domande specifiche, indipendentemente da quanto il ladro cerchi di cambiarne la personalità o di nasconderne l'identità. È come mettere un numero di serie unico e inamovibile su un'auto che si illumina solo quando poni la domanda giusta, dimostrando che l'auto è tua anche se il ladro l'ha verniciata di un colore diverso.

Sintesi Tecnica: Chain & Hash – Una Tecnica di Fingerprinting per LLM

Problematica

Il rapido dispiegamento e il significativo valore economico dei Large Language Models (LLM) hanno aumentato le preoccupazioni riguardanti il furto di proprietà intellettuale (IP) e il loro uso improprio. Le vulnerabilità attuali includono le minacce interne capaci di esfiltrare i pesi del modello e il riutilizzo dei modelli tramite API pubbliche. I metodi esistenti per provare la proprietà spesso mancano di robustezza contro la manipolazione avversaria, come il fine-tuning o l'applicazione di meta-prompt che alterano lo stile di output. Inoltre, molti approcci si basano sull'accesso white-box (pesi interni), il che è impraticabile per la verifica nel mondo reale dove è disponibile solo l'accesso a livello di API (black-box). Il documento identifica la necessità critica di un framework di fingerprinting che sia trasparente, efficiente, persistente, robusto e non falsificabile, capace di operare in scenari avversari realistici in cui gli attaccanti possiedono il pieno controllo del modello e la conoscenza dell'algoritmo.

Metodologia: Chain & Hash

Gli autori propongono "Chain & Hash", un nuovo framework di fingerprinting progettato per legare criptograficamente prompt specifici alle loro risposte, garantendo una proprietà verificabile senza compromettere l'utilità del modello. Il framework opera sotto un modello di minaccia black-box e consiste in quattro componenti primarie:

1. Generazione delle Domande

Il sistema genera un insieme di $Q$ prompt di fingerprint utilizzando due strategie complementari:

Domande Casuali: Token campionati dal vocabolario del modello (ad es. 10 token). Questo massimizza la memorizzazione ma è suscettibile al filtraggio degli input.
Domande Naturali: Query semanticamente valide ma statisticamente rare, adattate a domini specifici, generate dagli stessi modelli target per ridurre i rischi di filtraggio avversario.

2. Costruzione della Catena Criptografica

Per garantire l'inalterabilità (unforgeability), il metodo lega le domande alle risposte utilizzando una funzione di hash criptografica (ad es. SHA-256).

Meccanismo: Viene stabilito un insieme predefinito di 256 unità di risposta ( $R$ ). Per una catena di $k$ domande, l'hash dell'intero insieme di domande $Q$ e dell'insieme di risposte $R$ determina la specifica risposta $r_j$ per ogni domanda $q_i$ .
Sicurezza: La mappatura è deterministica e resistente alle collisioni. Alterare qualsiasi domanda cambia l'input dell'hash, cambiando di conseguenza la risposta richiesta per tutte le domande nella catena. Un avversario non può falsificare la sequenza corretta di risposte senza effettuare il fine-tuning del modello, poiché la probabilità di indovinare l'indice corretto per $k$ domande è $(1/256)^k$ .

3. Addestramento del Fingerprint e Robustezza

Il modello viene sottoposto a fine-tuning per memorizzare queste coppie criptograficamente legate mantenendo l'utilità generale. Per affrontare la minaccia dei meta-prompt (ad es. "Rispondi come un pirata") e del fine-tuning, il dataset di addestramento include:

Diversificazione dei Meta-prompt: Le domande di fingerprint vengono aumentate con diversi meta-prompt generati da GPT-4, addestrando il modello a sovrascrivere queste istruzioni per le query di fingerprint.
Padding Casuale: Sequenze di token casuali vengono aggiunte come prefissi e suffissi alle domande di fingerprint per insegnare al modello a ignorare il rumore.
Dati Non-Fingerprint: Il dataset include coppie QA standard e argomenti di fingerprint riformulati per preservare l'utilità e prevenire il rilevamento statistico.
Funzione di Perdita: Una funzione di perdita combinata bilancia la perdita di cross-entropy per i campioni di fingerprint ( $L_{fp}$ ) con un termine di divergenza KL ( $L_{KL}$ ) per minimizzare la deviazione dal comportamento del modello originale sui dati non-fingerprint.

4. Protocollo di Verifica

La verifica della proprietà viene condotta tramite query black-box. Un reclamante fornisce l'insieme di domande $Q$ , l'insieme di risposte $R$ e la funzione di hash $H$ . Il verificatore interroga il modello sospetto $M$ con le domande provenienti da $Q$ . Se l'output del modello inizia con la risposta $r_j$ determinata criptograficamente per un numero sufficiente di domande, la soglia $\tau$ , la proprietà è stabilita. Il protocollo si basa sulla precedenza temporale; il proprietario originale può provare la proprietà dimostrando il fingerprint sulla versione del modello pubblicamente disponibile più antica.

Contributi Chiave

Tecnica Chain & Hash: Un metodo criptografico che lega i prompt di fingerprint alle risposte, prevenendo le collisioni e consentendo rivendicazioni di proprietà irrefutabili senza richiedere l'accesso white-box.
Robustezza contro i Meta-prompt: Una strategia di addestramento che incorpora il padding casuale e varie configurazioni di meta-prompt che mantiene l'integrità del fingerprint anche quando un avversario altera significativamente lo stile di output del modello tramite instruction tuning o system prompt.
Applicabilità Black-Box: Il framework opera interamente tramite interazioni API, rendendolo adatto a scenari di implementazione pratica dove i pesi interni del modello sono inaccessibili.
Estensione a LoRA: Il metodo dimostra di essere efficace sugli adapter Low-Rank Adaptation (LoRA), estendendo la protezione della proprietà intellettuale ai metodi di fine-tuning parametrico efficiente.

Risultati e Valutazione

Il framework è stato valutato su molteplici modelli allo stato dell'arte (Llama-3-8B, Llama-3-8B-Instruct, Phi-3-mini-instruct, Llama-2-13B-Instruct) rispetto a cinque proprietà essenziali:

Trasparenza: Il fingerprinting ha comportato una degradazione delle prestazioni trascurabile sui benchmark standard (MMLU, HellaSwag, TruthfulQA, ecc.), con la maggior parte dei cambiamenti entro $\pm 1\%$ o mostrando lievi miglioramenti nei compiti di seguire le istruzioni.
Efficienza: La proprietà può essere stabilita con alta fiducia (probabilità del 99%) utilizzando pochissime prove (spesso 1 o 2 risposte corrette su 10 domande).
Persistenza: Testato contro sette meta-prompt avversari (ad es. "rispondi come un pirata", "inizia con RISPOSTA"), i modelli addestrati con diversificazione dei meta-prompt hanno mantenuto la forza del fingerprint sopra il 99% per le domande casuali e circa l'82,8% per le domande naturali. Al contrario, i modelli senza questo addestramento hanno visto la forza del fingerprint scendere allo 0% sotto determinati prompt.
Robustezza:
- Fine-tuning: Il fingerprint è persistito attraverso un pesante fine-tuning (ad es. dataset Alpaca e ChatDoc). Le domande casuali hanno richiesto al massimo 25 prove per la verifica sui modelli sottoposti a fine-tuning, mentre le domande naturali hanno spesso richiesto solo 1–2 prove.
- Quantizzazione: L'applicazione della quantizzazione INT8 ha prodotto una degradazione trascurabile (<0,5% di calo nella forza del fingerprint).
- Parafrasi Avversaria: Anche quando gli input e gli output sono stati parafrasati da GPT-4o, il fingerprint è rimasto rilevabile (la forza è scesa dal 99% al 79% per la parafrasi dell'input, e al 20% per la parafrasi dell'output, che è comunque sufficiente per le rivendicazioni di proprietà).
Inalterabilità (Unforgeability): Il legame criptografico assicura che falsificare un fingerprint senza fine-tuning sia computazionalmente impraticabile. Il framework resiste inoltre alla collusione tra più modelli attraverso design di catena basati sull'intersezione.

Significato e Rivendicazioni

Il documento afferma che Chain & Hash fornisce una soluzione pratica e verificabile per la protezione della proprietà intellettuale degli LLM che affronta le specifiche vulnerabilità dei moderni modelli istruiti (instruction-tuned). A differenza degli approcci precedenti che si affidano all'accesso white-box o falliscono sotto attacchi di trasferimento dello stile, Chain & Hash offre un metodo criptograficamente sicuro e verificabile in black-box che sopravvive ad aggressive condizioni avversarie, inclusa la manipolazione dei meta-prompt e il fine-tuning. Gli autori sottolineano che il loro approccio non richiede un terzo di fiducia e può essere stratificato sopra i metodi di fingerprinting esistenti per migliorare la sicurezza. Il lavoro stabilisce un nuovo standard per la valutazione della robustezza del fingerprinting, evidenziando specificamente la necessità di testare contro i meta-prompt e il fine-tuning per garantire la vitalità nel mondo reale.