Riepilogo Tecnico: Echi nel Ragionamento: Marcatura Filigrana Invisibile ed Efficace tramite Catena di Pensiero

1. Enunciato del Problema

I Modelli Linguistici di Grande Dimensione (LLM) con capacità di ragionamento tramite Catena di Pensiero (CoT) rappresentano proprietà intellettuale ad alto valore, ma affrontano gravi minacce di furto non autorizzato e commercializzazione senza licenza. I metodi esistenti di marcatura filigrana in black-box faticano a bilanciare robustezza e utilità del modello.

• Approcci basati su backdoor si affidano a pattern fissi di attivazione-azione, che costringono i modelli a sovradattamento, compromettendo la fedeltà su compiti complessi e la generalizzazione. Sono inoltre vulnerabili al rilevamento e al filtraggio se i trigger vengono divulgati.
• Approcci basati sulla modifica del modello trattano le filigrane come conoscenze statiche da memorizzare tramite template rigidi, rendendole fragili di fronte a spostamenti di distribuzione o attacchi adattivi sulle strutture dei prompt.
• Limitazione Fondamentale: Entrambi i paradigmi verificano tipicamente la proprietà modificando la Risposta Finale. Ciò crea un conflitto a somma zero tra correttezza (utilità) e forza della marcatura filigrana. Modificare la risposta finale degrada spesso le prestazioni del modello sui compiti downstream.

Il documento ipotizza l'esistenza di un paradigma in grado di raggiungere sia l'invisibilità che l'efficacia, preservando rigorosamente la fedeltà del modello, spostando lo spazio di verifica dalla risposta finale al processo di ragionamento della Catena di Pensiero (CoT).

2. Metodologia: BiCoT

Gli autori propongono BiCoT (Catena di Pensiero a Due Livelli), un framework di marcatura filigrana che incorpora segnali di proprietà nella geometria interna delle tracce di ragionamento piuttosto che nell'output finale. Il metodo opera in tre fasi:

A. Formulazione Geometrica (Fase I)

BiCoT modella lo stato latente dell'LLM come una traiettoria su una Varietà di Ragionamento ad alta dimensionalità.

• Ancore Strutturali: Attraverso l'analisi della salienza del gradiente, gli autori identificano che specifici token (ad esempio, cifre nel ragionamento matematico, connettivi logici in altri domini) agiscono come "ancore strutturali" che governano in modo sproporzionato la dinamica del ragionamento.
• Allineamento della Varietà: Il framework definisce un Sottospazio di Firma privato ($S_v$) parametrizzato da un vettore unitario $v$.
  • Token Ancoraggio: I loro stati nascosti sono vincolati a collassare sul sottospazio di firma ($\cos(h_t, v) \to 1$).
  • Token di Controllo: I token linguistici ordinari (connettori, parole vuote) sono forzati a rimanere ortogonali alla firma ($\cos(h_t, v) \to 0$) per preservare la capacità semantica e la fedeltà del ragionamento.
• Alo Causale: I token immediatamente successivi a un'ancora sono trattati come una categoria separata; possono mostrare un allineamento residuo a breve raggio ma decadono rapidamente, garantendo che la filigrana non contamini globalmente il testo ordinario.

B. Iniezione della Filigrana (Fase II)

Il processo di iniezione è formulato come un problema di Ottimizzazione a Due Livelli:

• Ciclo Interno: Calcola una perturbazione virtuale dello stato nascosto ($\delta^*$) che massimizza la proiezione degli stati ancorati sul sottospazio di firma.
• Ciclo Esterno: Aggiorna i parametri del modello ($\theta$) per minimizzare un obiettivo combinato:
  1. Perdita di Compito ($L_{task}$): Garantisce che il modello mantenga le prestazioni sui compiti di ragionamento downstream.
  2. Perdita Geometrica ($L_{geo}$): Impone il collasso degli ancoraggi sulla firma e l'ortogonalità dei token di controllo.
  3. Regolarizzatore di Coerenza ($L_{KL}$): Mantiene la coerenza locale tra il modello marcato e il modello base sui prefissi della CoT.
     Questo design accoppia la filigrana con rappresentazioni rilevanti per il ragionamento, rendendo difficile la rimozione senza interrompere le caratteristiche che supportano un ragionamento coerente.

C. Registrazione Robusta del Sottospazio (Fase III)

Per affrontare lo spostamento di rappresentazione causato da attacchi (ad esempio, fine-tuning, quantizzazione), gli autori introducono la Registrazione Robusta del Sottospazio (RSR).

• Token Sentinella: Un insieme di token pre-identificati sensibili al sottospazio di firma viene utilizzato come sonde.
• Calibrazione dello Spostamento: Il verificatore stima il vettore sistematico di spostamento distribuzionale ($\hat{\mu}_{drift}$) calcolando la deviazione mediana dei token sentinella dalle loro statistiche di base.
• Riallineamento: I logit osservati vengono corretti sottraendo lo spostamento stimato, riposizionando efficacemente la varietà spostata nello spazio di firma canonico prima del test di ipotesi.
• Verifica: Il sistema esegue un test di ipotesi sui logit calibrati dei token sentinella utilizzando solo le Top-$k$ probabilità logaritmiche (accesso black-box).

3. Contributi Chiave

1. Analisi Causale della CoT: Il documento rivela che la generazione della CoT possiede una distinta gerarchia causale in cui specifiche "ancore strutturali" governano la dinamica del ragionamento. Dimostra che la CoT offre un vettore più ricco, ad alta capacità e più diversificato per i segnali rispetto alla risposta finale a bassa entropia.
2. Framework BiCoT: Un nuovo paradigma di marcatura filigrana che incorpora la proprietà nella geometria della varietà di ragionamento. Utilizza l'ottimizzazione a due livelli per intrecciare la filigrana con il processo di ragionamento stesso, trattando i token di controllo in modo ortogonale per preservare l'utilità.
3. Verifica Robusta (RSR): Un verificatore black-box in grado di gestire lo spostamento di rappresentazione tramite registrazione basata su sentinelle, garantendo un rilevamento affidabile anche sotto perturbazioni a livello di modello e attacchi adattivi.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti principalmente su Qwen2.5-7B-Instruct e validati su Mistral-7B, DeepSeek-7B e Qwen2.5-14B.

• Rilevabilità: BiCoT raggiunge un AUC di 1.0 e un Tasso di Successo della Filigrana (WSR) del 100% a tassi di falsi positivi (FPR) dello 0,1% e dell'1,0% su tutti i modelli testati, superando significativamente le linee di base come iSeal, llmmap e SEAL.
• Fedeltà: Il modello marcato preserva le prestazioni downstream. Sui compiti di ragionamento (GSM8K), il degrado delle prestazioni è marginale ($\approx -0,0083$). Sui compiti di comprensione a livello di frase, le fluttuazioni sono minime, con alcuni compiti che mostrano lievi guadagni.
• Robustezza:
  • Attacchi a livello di modello: La filigrana rimane rilevabile (AUC $\approx$ 1.0) sotto rumore gaussiano, fine-tuning supervisionato (SFT) a parametri completi, fine-tuning efficiente per parametri (PEFT/LoRA) e quantizzazione aggressiva (8-bit).
  • Attacchi a livello di output: Il metodo è resiliente agli attacchi adattivi, incluso un attacco mirato "ANCHOR" in cui l'avversario maschera esplicitamente i token delle cifre durante l'inferenza. La filigrana persiste grazie alla ridistribuzione intrinseca dei meccanismi di attenzione.
• Studi di Ablazione: La rimozione della perdita della filigrana porta a prestazioni di indovino casuale. La rimozione del meccanismo di Riancoraggio (RSR) causa un crollo catastrofico nel rilevamento sotto spostamento, validandone la necessità.

5. Significato e Affermazioni

Il documento afferma che BiCoT risolve il compromesso fondamentale tra forza della marcatura filigrana e utilità del modello disaccoppiando il segnale di verifica dalla risposta finale. Incorporando la proprietà nella geometria del processo di ragionamento, il metodo raggiunge:

• Invisibilità: La filigrana è invisibile nel testo di output finale e non si affida a trigger fragili.
• Efficacia: Fornisce un rilevamento robusto contro attacchi adattivi e spostamenti del modello.
• Fedeltà: Preserva rigorosamente le capacità di ragionamento e la generalizzazione del modello.

Gli autori sottolineano che questo approccio supporta la provenienza del modello e la protezione della proprietà intellettuale per LLM open-source e commerciali senza comprometterne l'utilità come motori di ragionamento. Il lavoro assume un setting black-box abilitato ai logprob (accesso alle probabilità dei prossimi $k$ token), che gli autori sostengono essere un confine pratico per molte implementazioni API moderne, piuttosto che un'assunzione irrealistica di oracolo.