Functional Subspace Watermarking for Large Language Models

Titolo: Watermarking del Sottospazio Funzionale per Grandi Modelli Linguistici (FSW)

1. Il Problema

Con la rapida diffusione di modelli linguistici su larga scala (LLM) open-weight (es. Llama, Mistral, Qwen), la protezione della proprietà intellettuale e la tracciabilità della provenienza sono diventate critiche. Esistono due approcci principali al watermarking:

1. Watermarking dei Contenuti: Inserisce segnali statistici nel testo generato. Tuttavia, è vulnerabile a pipeline di estrazione forti, specialmente quando un avversario distilla un modello studente che replica le capacità senza preservare i segnali a livello di output.
2. Watermarking del Modello: Incorpora informazioni di proprietà nei pesi o nelle rappresentazioni interne. Sebbene promettente, i metodi esistenti soffrono di una robustezza insufficiente contro le perturbazioni a livello di parametri.

Le modifiche realistiche ai modelli, come il fine-tuning, la quantizzazione, il pruning e la distillazione della conoscenza, causano distorsioni complesse che spesso cancellano i segnali di watermark tradizionali, rendendo difficile l'estrazione affidabile della prova di proprietà.

2. Metodologia: Functional Subspace Watermarking (FSW)

Il framework proposto, FSW, risolve il problema ancorando i segnali di proprietà a un "scheletro funzionale" (functional backbone) stabile a bassa dimensionalità. L'approccio si articola in cinque fasi:

• Fase 1: Estrazione delle Rappresentazioni
  Vengono estratte le rappresentazioni nascoste (hidden states) dell'ultimo token da un layer intermedio fisso del modello autoregressivo. Queste stati fungono da collo di bottiglia informativo per la previsione del prossimo token, rendendoli candidati ideali per il watermarking semantico.

• Fase 2: Analisi Geometrica e Sensibilità Funzionale
  L'obiettivo è identificare direzioni nello spazio latente che sono:

  • Critiche per il compito: Misurate tramite la Matrice di Informazione di Fisher ($F$). Le direzioni con alta sensibilità funzionale, se perturbate, alterano drasticamente la distribuzione di output.
  • Invarianti alla Compressione: Modellando la distillazione come un processo di compressione, viene definita una famiglia di operatori di compressione (proiezione lineare, rumore di quantizzazione, dropout strutturale). Viene calcolata una matrice di varianza ($C_A$) che rappresenta l'instabilità indotta da queste trasformazioni.

• Fase 3: Costruzione del Sottospazio e Ottimizzazione (GEVP)
  Il cuore del metodo è la risoluzione di un Problema Generalizzato agli Autovalori (GEVP):
  $$F u_i = \lambda_i C_A u_i$$
  Gli autovalori $\lambda_i$ rappresentano il punteggio di robustezza: direzioni con alto $\lambda_i$ sono sensibili al compito ma stabili sotto compressione.

  • Strategia di Troncamento Spettrale Adattivo: Per bilanciare robustezza e utilità, non si scelgono semplicemente i primi $k$ autovalori (che potrebbero degradare le prestazioni) né gli ultimi (facilmente rimovibili). Si seleziona un intervallo ottimale di autovalori basato su soglie validate per preservare l'integrità funzionale.

• Fase 4: Proiezione e Vincolo di Coerenza
  Viene introdotta una proiezione ancorata per definire un sistema di coordinate stabile. Per garantire che l'iniezione del watermark non comprometta le prestazioni semantiche originali, viene applicato un Vincolo di Coerenza Vettoriale ($L_{con}$), che minimizza la distanza tra le rappresentazioni del modello originale e quelle del modello watermarked.

• Fase 5: Incorporamento e Verifica Statistica

  • Incorporamento: Vengono generati vettori chiave segreti ortogonali. Il watermark viene iniettato utilizzando una funzione di perdita basata sul margine per massimizzare la separazione tra i segnali.
  • Verifica: La proprietà viene verificata calcolando un punteggio di rilevamento aggregato ($S$). Sotto l'ipotesi nulla (nessun watermark), $S$ segue una distribuzione normale. Un punteggio significativamente alto rifiuta l'ipotesi nulla con un tasso di falsi positivi (FPR) estremamente basso, fornendo una prova statistica irrefutabile.

3. Contributi Chiave

1. Framework FSW: Un nuovo approccio che localizza uno scheletro funzionale critico e stabile, risolvendo un GEVP per decouplare la sensibilità del compito dalla varianza indotta dalla compressione.
2. Schema di Verifica Multi-bit: Un sistema di verifica basato su chiavi ortogonali che trasforma la verifica della proprietà in un test statistico rigoroso, garantendo alta precisione senza degradare le prestazioni di generazione.
3. Robustezza Dimostrata: Validazione estesa su diverse architetture (LLaMA, Qwen, Mistral, DeepSeek) che dimostra la resilienza contro fine-tuning, quantizzazione, pruning e distillazione della conoscenza.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su modelli da 7B a 8B parametri su dataset come WikiText-2 e C4.

• Preservazione Funzionale: FSW mantiene prestazioni quasi identiche al modello originale. Ad esempio, su LLaMA-2-7B, l'aumento della Perplexity (PPL) è trascurabile (+0.61), mentre la precisione su task come HellaSwag e ARC rimane competitiva.
• Robustezza agli Attacchi:
  • Distillazione: Anche dopo la distillazione dello scheletro (Backbone Distillation), FSW mantiene tassi di accuratezza dei bit (Bit Acc) elevati (es. 87.5% - 100% su vari modelli), mentre i metodi basali falliscono.
  • Quantizzazione e Pruning: Il punteggio di rilevamento ($S$) spesso aumenta o rimane stabile dopo la quantizzazione INT4 o il pruning, indicando che il segnale risiede in direzioni che sopravvivono alla compressione.
  • Fine-tuning (LoRA): Il watermark resiste all'adattamento efficiente dei parametri.
• Verificabilità Statistica: Il metodo raggiunge un AUC vicino a 1.0 e rifiuta l'ipotesi nulla anche a livelli di significatività estremamente stringenti ($\alpha = 10^{-8}$), garantendo un FPR vicino allo zero.
• Capacità: La capacità ottimale è di circa 16 bit; oltre questo valore, si osserva una saturazione strutturale che degrada le prestazioni del modello.

5. Significato e Impatto

Questo lavoro colma un divario critico nella protezione della proprietà intellettuale degli LLM. A differenza dei watermark basati sui contenuti o su tecniche naive di modifica dei pesi, FSW sfrutta la geometria intrinseca del modello per identificare direzioni che sono indispensabili per il compito ma resistenti alle modifiche.

• Implicazioni Pratiche: Offre un meccanismo robusto per i proprietari di modelli per dimostrare la paternità in caso di dispute legali o redistribuzione non autorizzata, anche dopo che il modello è stato sottoposto a ottimizzazioni aggressive o distillazione.
• Contributo Scientifico: Introduce un nuovo paradigma che combina l'analisi della sensibilità funzionale (Fisher Information) con la resilienza alla compressione, offrendo una soluzione teoricamente fondata e praticamente efficace per il watermarking "white-box" dei modelli di grandi dimensioni.

In sintesi, FSW rappresenta uno stato dell'arte (SOTA) per la protezione dei modelli, garantendo che i segnali di proprietà sopravvivano alle trasformazioni più comuni che un avversario potrebbe applicare per nascondere l'origine del modello.