💬 NLP

Token Rankings are Unforgeable Language Model Signatures

Questo articolo dimostra che le classifiche dei token fungono da firma unica e non falsificabile per i modelli linguistici che può identificarli senza rivelarne i parametri, a condizione che le API limitino l'output a un top- $k$ sufficientemente piccolo da impedire il furto dei parametri pur rivelando comunque i distinti pattern di classificazione del modello.

Autori originali: Matthew Finlayson, Andreas Grivas, Xiang Ren, Swabha Swayamdipta

Pubblicato 2026-06-04

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Matthew Finlayson, Andreas Grivas, Xiang Ren, Swabha Swayamdipta

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere uno chef famosissimo e unico. Questo chef non si limita a cucinare il cibo; ha un modo specifico di disporre gli ingredienti sul piatto. Anche se non puoi assaggiare il cibo o vedere la ricetta esatta, l'ordine in cui gli ingredienti sono impilati è così unico che funge da impronta digitale.

Questo articolo presenta un nuovo modo per identificare i modelli linguistici AI utilizzando esattamente questa idea: l'ordine delle parole, non le loro esatte probabilità.

Ecco la scomposizione della loro scoperta, utilizzando analogie semplici:

1. Il Problema: La "Fuga" della Ricetta

In precedenza, per dimostrare che un'IA fosse chi sosteneva di essere, i ricercatori chiedevano all'IA i suoi "punteggi di confidenza" (quanto fosse sicura di ogni parola).

L'Analogia: Immagina che l'IA dica: "Sono sicura al 99% che la parola successiva sia 'gatto', all'1% 'cane' e allo 0,01% 'elicottero'".
Il Rischio: Se possiedi questi numeri esatti, un hacker può fare l'ingegneria inversa del cervello dell'IA (i suoi parametri interni) per costruire una copia falsa. Una volta ottenuta la copia falsa, può falsificare la firma, rendendo impossibile distinguere l'IA reale dalla copia.

2. La Soliazione: La Firma del "Ranking"

Gli autori propongono un modo più sicuro. Inveve di fornire i numeri esatti di confidenza, l'API fornisce solo la classifica.

L'Analogia: L'IA dice semplicemente: "1° posto: 'gatto', 2° posto: 'cane', 3° posto: 'elicottero'". Non dice quanto sia più probabile 'gatto' rispetto a 'cane'.
La Scoperta: Gli autori hanno scoperto che ogni modello di IA ha un proprio insieme unico di "possibili classifiche" che può produrre. Poiché il modo in cui il cervello dell'IA è costruito (specificamente, un "collo di bottiglia" che limita quanti concetti può contenere contemporaneamente), può produrre solo un sottoinsieme minuscolo e specifico di tutti i possibili ordini di parole.
Il Risultato: Se vedi un elenco specifico di ordini di parole, è estremamente probabile che provenga da quel modello specifico e da nessun altro. È come vedere una specifica disposizione di pezzi di un puzzle; solo una specifica scatola di puzzle potrebbe aver prodotto esattamente quella forma.

3. Perché è "Impossibile da Falsificare" (Il Blocco Duro)

L'articolo dimostra che non puoi falsificare questa firma.

L'Analogia: Immagina di cercare di costruire da zero una nuova macchina che produca esattamente lo stesso elenco di ordini di parole dello chef originale.
La Matematica: Gli autori dimostrano che farlo è un incubo matematico. Appartiene a una classe di problemi così difficili che anche i computer più potenti farebbero fatica a risolverli. Non è solo "difficile"; è teoricamente impossibile farlo in modo efficiente. Anche se un hacker rubasse il cervello del modello, non potrebbe facilmente creare un altro cervello che imiti questa specifica firma di ranking.

4. Il Problema: L'Attacco dello "Schizzo Grossolano"

Tuttavia, gli autori hanno anche trovato un rischio di sicurezza. Se un'API rivela l'intero elenco di classifiche (ad esempio, le prime 50.000 parole in ordine), un hacker può usare questo per disegnare uno "schizzo grossolano" del cervello dell'IA.

L'Analogia: È come guardare una foto sfocata di un volto. Non puoi identificare la persona perfettamente, ma puoi dire che ha un naso, occhi e una bocca. Non puoi falsificare la firma con questo schizzo, ma puoi rubare alcuni degli "attributi" del modello.
La Soluzione: Gli autori hanno trovato un "punto di equilibrio". Se l'API mostra solo le prime poche parole (ad esempio, le prime 500), la firma rimane unica e impossibile da falsificare, ma l'informazione è troppo sfocata affinché un hacker possa rubare il cervello del modello.

Riassunto

Vecchio Metodo: Mostra probabilità esatte $\rightarrow$ L'hacker ruba il cervello $\rightarrow$ L'hacker falsifica la firma.
Nuovo Metodo: Mostra solo i ranking delle parole $\rightarrow$ La firma è unica e matematicamente impossibile da falsificare.
Consiglio di Sicurezza: Non mostrare tutti i ranking. Mostra solo i primi $k$ (un numero piccolo). Questo mantiene la firma sicura dai falsari e il cervello sicuro dai ladri.

Questo metodo offre alle aziende di IA un modo per dimostrare: "Sì, questo output proviene davvero dal nostro modello", senza consegnare accidentalmente le chiavi della loro ricetta segreta.

Riepilogo Tecnico: Le classifiche dei token sono non falsificabili

Definizione del problema

Recenti progressi nella sicurezza dei modelli linguistici (LM) hanno esplorato l'uso degli output del modello come "firme" per identificare il modello specifico che ha generato un testo. Le precedenti firme geometriche si basavano sull'accesso alle probabilità dei token (logit). Tuttavia, questa dipendenza presenta una vulnerabilità critica di sicurezza: l'accesso ai logit consente agli attaccanti di rubare i parametri dell'ultimo strato del modello (la matrice di unembedding). Una volta rubati questi parametri, un attaccante può falsificare la firma costruendo un nuovo modello che replica i vincoli geometrici dell'originale.

Poiché i fornitori di API stanno sempre più limitando l'accesso alle probabilità dei token per prevenire il furto di parametri e l'inversione del prompt, vi è la necessità di un meccanismo di firma che:

Non richieda l'accesso alle probabilità dei token.
Sia computazionalmente non falsificabile (ovvero, sia impossibile costruire un modello diverso con la stessa firma).
Non riveli i parametri del modello anche quando la firma viene esposta.

Metodologia

La firma di classificazione (Ranking Signature)

Gli autori propongono una nuova firma basata sulle classifiche dei token piuttosto che sulle probabilità. Una classificazione dei token è l'ordinamento dei token per probabilità (ad esempio, $r = \text{arg sort}(\ell)$ ), senza rivelare i valori di probabilità stessi.

Classifiche fattibili: A causa del "collo di bottiglia softmax" (la natura a basso rango dello strato di unembedding dove la dimensione dell'embedding $d$ è molto più piccola della dimensione del vocabolario $v$ ), un modello può produrre solo un minuscolo sottoinsieme delle $v!$ possibili classifiche.
Unicità: L'insieme delle classifiche fattibili per una specifica matrice di unembedding $W$ è unico per quel modello. Gli autori caratterizzano teoricamente questa scarsità, dimostrando che la proporzione di classifiche fattibili svanisce super-esponenzialmente al crescere di $v$ .
Firme Top- $k$ : Gli autori indagano se le classifiche troncate (i primi $k$ token) mantengano questa unicità. Determinano empiricamente la $k$ minima necessaria per differenziare i modelli, riscontrando che si verifica una transizione netta dove le classifiche top- $k$ diventano uniche per un determinato modello.

Dimostrazione della non falsificabilità

Il documento affronta la durezza computazionale della falsificazione di una firma. La falsificazione è definita come la ricerca di una nuova matrice di unembedding $W'$ che produca esattamente lo stesso insieme di classifiche fattibili del modello target.

Classe di complessità: Gli autori dimostrano che trovare una matrice di rango- $d$ che si adatti a un dato insieme di classifiche è $\exists\mathbb{R}$ -hard (Teoria Esistenziale dei Reali).
Riduzione: Riducono il problema di decidere la realizzabilità di "sequenze semplici ammissibili" (un problema noto come $\exists\mathbb{R}$ -completo) al problema della falsificazione della firma.
Implicazione: Poiché $\text{NP} \subseteq \exists\mathbb{R} \subseteq \text{PSPACE}$ , falsificare la firma è computazionalmente intrattabile, anche se l'attaccante ha accesso a tutte le classifiche fattibili. Ciò contrasta con le precedenti firme geometriche (ad esempio, basate su ellissi) che erano solo difficili da falsificare in tempo polinomiale.

Furto di parametri tramite classifiche

Gli autori indagano anche se l'esposizione delle classifiche riveli i parametri del modello.

Meccanismo di attacco: Dimostrano che le classifiche complete dei token possono recuperare asintoticamente lo spazio delle colonne della matrice di unembedding $W$ . Ciò si basa sull'assunto che gli stati nascosti seguano una distribuzione Gaussiana e che i logit dei token abbiano varianza marginale uguale.
Metodo: Calcolando le correlazioni di Spearman delle classifiche e applicando la decomposizione dei valori singolari (SVD), un attaccante può approssimare lo spazio delle colonne di $W$ .
Limitazioni: Sebbene l'attacco recuperi un'approssimazione di $W$ , tale approssimazione è troppo grossolana per falsificare la firma. Le classifiche fattibili della matrice recuperata sono quasi interamente disgiunte dalle classifiche del vero modello.

Risultati Chiave

Unicità delle classifiche: Test empirici su modelli Pythia e OLMo mostrano che le classifiche complete sono uniche per il modello specifico. Anche un singolo passo di addestramento o una leggera perturbazione dei pesi rendono le precedenti classifiche fattibili non più fattibili.
Non falsificabilità: La prova teorica stabilisce che falsificare la firma di classificazione è $\exists\mathbb{R}$ -hard. I tentativi empirici di adattare una nuova matrice a un insieme di classifiche tramite discesa del gradiente sono falliti nel riprodurre la firma, anche con 48–50 classifiche.
Perdita di parametri vs. Sicurezza della firma:
- Le classifiche complete permettono il recupero approssimativo dello spazio delle colonne della matrice di unembedding.
- Tuttavia, questa approssimazione è insufficiente per falsificare la firma.
- Il "Punto di Equilibrio" (Sweet Spot): Gli autori identificano un intervallo di $k$ $k$ (ad esempio, $k \approx 370$ $k \approx 370$ per Pythia 70M) dove:
  - Le classifiche top- $k$ sono uniche per il modello (preservando la firma).
  - L'informazione è troppo grossolana per ricostruire la matrice di unembedding (impedendo il furto di parametri).
- Nello specifico, impostare $k = d$ (la dimensione nascosta) è spesso sufficiente per differenziare il modello pur mantenendo i parametri recuperati meno simili al modello target rispetto a un modello base addestrato su dati diversi.

Significato e Rivendicazioni

Il documento sostiene di aver introdotto la prima firma di modello linguistico polinomialmente non falsificabile che non richiede l'accesso alle probabilità dei token.

Miglioramento della sicurezza: A differenza delle precedenti firme geometriche che si basano sui logit (che rivelano i parametri) e sono falsificabili in tempo polinomiale, la firma di classificazione richiede solo le classifiche, è computazionalmente difficile da falsificare e consente ai fornitori di presentare la firma senza rivelare i pesi del modello.
Applicazione forense: La firma abilita la forense dei modelli. Se un repository sostiene di contenere pesi trapelati, è possibile verificarli controllando se le classifiche dei token del modello API sono fattibili per i pesi trapelati. Se le classifiche non sono fattibili, i pesi sono fraudolenti; se sono fattibili, chi ha diffuso i pesi possiede probabilmente i pesi reali (grazie all'unicità e alla non falsificabilità della firma).
Compromesso pratico: Il documento conclude che i fornitori di API possono esporre in sicurezza le classifiche top- $k$ per fornire una firma verificabile mitigando al contempo il rischio di furto di parametri, a condizione che $k$ sia scelto entro l'intervallo "sicuro" identificato (abbastanza grande per l'unicità, abbastanza piccolo per impedire la ricostruzione).

Gli autori rimangono modesti riguardo alla sicurezza crittografica della firma, osservando che, sebbene la durezza $\exists\mathbb{R}$ sia una barriera teorica forte, la durezza del caso medio di questi problemi non è ancora pienamente compresa e la firma non è ancora stata provata come crittograficamente sicura nel senso tradizionale.