Every Language Model Has a Forgery-Resistant Signature

Each language version is independently generated for its own context, not a direct translation.

Immagina di avere un'auto molto speciale, un'auto che non ha bisogno di chiavi, ma che lascia una firma invisibile su ogni singolo oggetto che tocca. Se qualcuno ti porta un oggetto e dice "L'ho fatto io", tu puoi guardarlo e dire con certezza: "No, questo non è stato fatto da quell'auto. La sua firma è sbagliata".

Questo è esattamente il concetto alla base del paper "Ogni Modello Linguistico ha una Firma Resistente alla Falsificazione" (Every Language Model Has a Forgery-Resistant Signature), presentato alla conferenza ICLR 2026.

Ecco la spiegazione semplice, passo dopo passo:

1. Il Problema: Chi ha scritto questo testo?

Oggi, molte intelligenze artificiali (come quelle di OpenAI o Google) sono "chiuse". Non puoi vedere come sono fatte dentro (i loro "parametri" o "ricette"), ma puoi solo chiedere loro di scrivere qualcosa.
Il problema è: se qualcuno ti invia un testo scritto da un'IA, come fai a sapere se è davvero stato scritto da quell'IA specifica o se è stato falsificato da un'altra? È come ricevere una lettera anonima: come sai chi l'ha scritta?

2. La Soluzione: La "Firma Ellittica"

Gli autori del paper hanno scoperto qualcosa di affascinante: ogni intelligenza artificiale, quando scrive, è costretta dalla sua stessa architettura matematica a seguire una regola geometrica precisa.

Immagina di lanciare delle palline in un grande campo.

Se lanci le palline a caso, finiscono ovunque.
Ma se il campo ha un terreno speciale (una collina invisibile), tutte le palline finiranno a rotolare e fermarsi esattamente sulla superficie di un'ellisse (una forma ovale, come un uovo schiacciato o un cerchio allungato).

Per le intelligenze artificiali, questo "terreno" è creato dagli ultimi strati matematici che trasformano i pensieri dell'IA in parole. Ogni modello ha la sua ellisse unica.

Se l'IA "Llama" scrive una parola, la sua "firma matematica" cade esattamente sulla sua ellisse.
Se l'IA "GPT" scrive la stessa parola, la sua firma cade su un'altra ellisse.

3. Perché è una "Firma"?

Questa ellisse funziona come un sigillo di garanzia.
Se ricevi un testo (o meglio, i dati matematici che lo generano), puoi controllare se la "firma" cade sulla giusta ellisse.

Sulla ellisse? Probabilmente è stato scritto da quel modello.
Fuori dall'ellisse? Non è stato scritto da quel modello.

4. La Magia: Perché è impossibile da falsificare?

Qui sta il punto geniale. Esistono altri metodi per firmare i testi (come le "filigrane" o watermark), ma spesso sono facili da copiare o da rimuovere.

La firma ellittica è resistente alla falsificazione per due motivi principali:

È naturale: Non serve che il produttore dell'IA la inserisca. È come la forma del naso di una persona: nasce con il modello. Tutti i modelli moderni hanno questa "ellisse" perché usano le stesse regole matematiche di base.
È un labirinto matematico: Per falsificare questa firma (cioè per ingannare il sistema e far credere che un testo sia stato scritto da un'IA specifica quando non lo è), un hacker dovrebbe ricostruire l'intera ellisse dell'IA solo guardando le uscite.
- Immagina di dover ricostruire la forma esatta di un'ellisse gigante nello spazio solo guardando alcuni punti sparsi.
- Per un'IA piccola, è difficile.
- Per un'IA grande (come quelle usate oggi), è impossibile con la tecnologia attuale. Ci vorrebbero milioni di anni di calcolo e miliardi di dollari di costi di server per "indovinare" la forma esatta dell'ellisse senza avere accesso alla ricetta segreta dell'IA.

5. L'Analogia della Cassaforte

Pensa all'ellisse come a una cassaforte segreta.

Chi ha la chiave (il produttore dell'IA): Sa esattamente dove si trova la cassaforte e può mettere oggetti (testi) dentro di essa.
Il verificatore: Ha una mappa della posizione della cassaforte. Se vede un oggetto, controlla: "È dentro la cassaforte giusta?". Se sì, è autentico.
Il falsario: Non ha la chiave e non sa dove si trova la cassaforte. Può provare a lanciare oggetti a caso, ma la probabilità che un oggetto finisca esattamente dentro quella cassaforte specifica, senza sapere dove sia, è praticamente zero.

6. A cosa serve tutto questo?

Questa scoperta apre la porta a un sistema di verifica delle autenticità simile a quello bancario o crittografico:

Se un'IA genera un testo dannoso o falso, e il produttore nega di averlo fatto, un terzo parte di fiducia può controllare la firma ellittica.
Se la firma corrisponde all'ellisse di quel modello, il produttore non può negare la paternità del testo.
È un modo per rendere le IA più responsabili e trasparenti, senza bisogno di rivelare i loro segreti industriali.

In sintesi

Gli autori hanno scoperto che ogni intelligenza artificiale lascia un'impronta digitale matematica (un'ellisse) su ogni parola che scrive. Questa impronta è:

Invisibile (non si vede nel testo, ma nei dati).
Naturale (nessuno la deve aggiungere).
Incontraffattibile (troppo difficile da copiare per un hacker).

È come se ogni modello linguistico avesse un passaporto matematico che non può essere falsificato, garantendo che possiamo sapere chi ha scritto cosa, anche nel mondo digitale più oscuro.

Each language version is independently generated for its own context, not a direct translation.

1. Il Problema

Con la proliferazione di modelli linguistici (LLM) a pesi chiusi (closed-weight) accessibili tramite API pubbliche, è emersa la necessità di metodi forensi per:

Identificare l'origine di un testo generato.
Estrarre dettagli nascosti del modello (come i parametri) senza accesso diretto ai pesi.
Garantire l'accountability e la regolamentazione delle scelte dei provider.

Le soluzioni esistenti, come le "watermark" testuali o le "impronte digitali" (fingerprinting) basate su vincoli lineari, presentano limiti significativi: spesso richiedono l'implementazione attiva da parte del provider, necessitano di lunghi testi per essere rilevate, o sono facilmente falsificabili (forgery) se un attaccante riesce a estrarre i vincoli lineari tramite API.

2. Metodologia: Le Firme Ellittiche

Il paper introduce un nuovo concetto di firma basato su un vincolo geometrico intrinseco all'architettura di quasi tutti i moderni modelli linguistici: l'output del modello giace sulla superficie di un'ellisse ad alta dimensione.

Fondamento Matematico

Architettura: La maggior parte degli LLM utilizza un layer di normalizzazione (es. RMSNorm o LayerNorm) seguito da un layer lineare (unembedding) che proietta gli stati nascosti nello spazio del vocabolario ( $\mathbb{R}^v$ ).
Geometria: La normalizzazione mappa gli stati nascosti sulla superficie di una sfera ( $d$ -dimensionale). La successiva trasformazione affine (moltiplicazione per la matrice di unembedding $W$ e aggiunta di bias) trasforma questa sfera in un'ellisse ( $d$ -dimensionale) immersa nello spazio ad alta dimensionalità del vocabolario.
Log-probabilità: Anche se le API restituiscono log-probabilità (logprobs) e non logits, la funzione softmax è invariante rispetto all'aggiunta di una costante scalare. Pertanto, i logprobs centrati mantengono la struttura geometrica dell'ellisse.

Il Protocollo di Verifica

Il sistema proposto funziona analogamente a un Message Authentication Code (MAC) crittografico:

Chiave Segreta: I parametri dell'ellisse (definiti dai pesi finali del modello) fungono da chiave segreta.
Firma: Quando il modello genera un output, i vettori di log-probabilità sono "firmati" automaticamente perché giacciono su questa ellisse specifica.
Verifica: Un verificatore che possiede i parametri dell'ellisse può controllare se un vettore di log-probabilità ricevuto giace sulla superficie dell'ellisse. Se sì, l'output proviene con alta probabilità da quel modello specifico.

3. Contributi Chiave e Proprietà Uniche

L'articolo identifica quattro proprietà distintive delle "firme ellittiche" che le differenziano dai metodi precedenti:

Resistenza alla Falsificazione (Forgery-Resistance):
- È estremamente difficile generare nuovi log-probabilità che rispettino i vincoli dell'ellisse senza avere accesso ai parametri del modello.
- A differenza delle firme lineari (facili da falsificare estraendo i vincoli), estrarre l'ellisse richiede un numero di query API proibitivo e un costo computazionale enorme per il fitting.
Natura Naturale (Naturally Occurring):
- Non richiede modifiche al modello o all'inferenza. Poiché quasi tutti gli LLM moderni hanno un layer di normalizzazione finale, possiedono automaticamente questa firma.
Autonomia (Self-Contained):
- La verifica non richiede l'accesso agli input del modello o ai pesi completi, ma solo ai parametri dell'ellisse (che possono essere condivisi con un terzo parte fidato).
Compattezza e Ridondanza:
- La firma è presente in ogni singolo passo di generazione (ogni vettore di log-probabilità). Non è necessario analizzare sequenze lunghe per identificare il modello; un singolo token è sufficiente.

4. Risultati Sperimentali e Analisi della Complessità

Efficacia di Identificazione

Gli autori hanno testato il metodo su diversi modelli open-weight (Olmo 2, Llama 3.1, Qwen 3, GPT OSS).

Risultato: Gli output generati da un modello specifico mostrano una distanza minima dalla propria ellisse target, mentre gli output di altri modelli (proiettati nello stesso spazio) hanno distanze superiori di diversi ordini di grandezza.
Robustezza: La firma è stata identificata con successo anche confrontando checkpoint diversi dello stesso modello (es. Olmo 2 vs Olmo 2 checkpoint 300).

Difficoltà di Falsificazione (Costo dell'Attacco)

Il paper dimostra che estrarre l'ellisse da un'API protetta è praticamente impossibile per modelli di grandi dimensioni a causa di due fattori:

Complessità delle Query (Campionamento): Per definire un'ellisse in $d$ $d$ dimensioni, sono necessari $O(d^2)$ $O (d^{2})$ campioni. Poiché le API restituiscono un numero limitato di log-probabilità per query, il numero totale di query necessarie cresce come $O(d^3 \log d)$ $O (d^{3} lo g d)$ .
- Esempio: Per un modello come GPT-3.5-Turbo, il costo stimato per raccogliere i campioni necessari supera i $150.000. Per un modello da 70B, il costo salirebbe a 16 milioni di dollari.
Complessità Computazionale (Fitting): L'algoritmo per adattare un'ellisse ai punti raccolti ha una complessità temporale di $O(d^6)$ $O (d^{6})$ .
- Esempio: Estrapolando i tempi di esecuzione su modelli più grandi, si stima che l'estrazione dei parametri per un modello da 70B richiederebbe migliaia di anni di tempo di calcolo, anche con hardware parallelo.

5. Significato e Implicazioni

Questo lavoro apre nuove prospettive per la sicurezza e la forensica degli LLM:

Accountability: Offre un meccanismo per verificare l'autenticità di un output in contesti legali o regolamentari, permettendo a terze parti fidate di confermare se un output dannoso proviene da un specifico provider, anche se il provider nega la paternità.
Sicurezza: Fornisce un metodo di autenticazione "passivo" che non può essere rimosso senza distruggere la funzionalità del modello (a differenza delle watermark attive).
Limiti: L'approccio richiede che le API forniscano l'accesso ai log-probabilità (attualmente limitato a pochi provider come OpenAI) e la sicurezza è basata su complessità computazionale (polinomiale) piuttosto che su garanzie crittografiche assolute.

In sintesi, il paper dimostra che la geometria intrinseca dei modelli linguistici può essere sfruttata come una firma digitale robusta, resistente alla falsificazione e naturale, offrendo un potente strumento per la tracciabilità e la verifica degli output degli LLM.