🤖 machine learning

Training Leaves Traces: Centered Residual Signatures for Language Model Lineage Verification

本論文は、残差ブロックにおける特有の構造的痕跡を分析することで、ファインチューニング、マージ、または量子化の影響に関わらず、関連するチェックポイントと無関係なチェックポイントを正確に判別することを可能にし、オープンウェイト言語モデルの系統を検証する、データフリーかつホワイトボックスな手法であるCentered Residual Signaturesを提案する。

原著者： Aman Singh Thakur, Rayan Khoury

公開日 2026-08-18

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Aman Singh Thakur, Rayan Khoury

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

現代のデジタル環境において、人工知能モデルは、めったに静的で孤立した創造物であることはありません。それらは、複雑なサプライチェーンを通じて進化する生きた実体です。膨大な量のテキストで学習されたベースモデルは、しばしば一つの開発者から別の開発者へと引き継がれます。その過程で、特定のタスクを実行するために微調整されたり、より小さなデバイスで動作するように圧縮されたり、あるいは新しいものを作り出すために他のモデルと結合されたりします。これらの操作はモデルの内部数値、すなわち重みを変化させますが、明確な記録を残すことはほとんどありません。モデルが新しい名前でリリースされると、それが有名なオリジナルからの真の末裔なのか、それとも単に似たように振る舞うようゼロから構築された模倣品なのかを判別することが困難になります。この透明性の欠如は、オープンソース・インテリジェンスのエコシステムにおける盲点を生み出し、起源の検証や知的財産の保護を難しくしています。

核心となる課題は、二つの非常に異なるシナリオを区別することにあります。第一のシナリオは、モデルがファインチューニングやマージのプロセスを通じて、その特定の数学的構造を継承した、あるモデルの真の子である場合です。第二のシナリオは、モデルが結果として似たような出力を生成するものの、独立した創造物である場合です。デジタル指紋のチェックやモデルの挙動の観察といった従来の検証手法は、ここではしばしば失敗します。デジタル署名は、たった一つの数値が変更された瞬間に崩れてしまい、行動テストでは、共通の歴史があるのか、それとも共通の結果があるのかの区別がつきません。研究者たちは、モデルの訓練データやモデルを実行する能力を必要とせずに、その系譜を証明できる信号、つまりモデルの「脳」の内部を覗き込み、変容を生き延びる痕跡を見つけ出す方法を必要としていました。

研究チームは、モデルのレイヤーの背後に残された独特な幾何学的構造を調べることで、この問題を解決する方法を開発しました。彼らは、多くの現代的な言語モデルに共通する特定のアーキテクチャの特徴である「残差ブロック（residual block）」に着目しました。これらの構造において、情報はメインの経路を通じて流れるだけでなく、サイドパスを飛び越えても流れます。これにより、モデルはゼロからやり直すのではなく、小さな修正を学習できるようになります。研究者たちは、モデルが学習される際、これらのサイドパスにおける数学的操作が、非常に特定の、共有された整列（アライメント）を発達させることを発見しました。それはあたかも、モデルが効率的に修正を行うために、内部コンポーネントを特定のやり方で整理することを学習しているかのようです。しかし、この整列は非常に一般的であるため、ほぼすべての学習済みモデルに見られ、それ単体では系譜を証明するには不十分です。

突破口は、研究者が特定のチェックポイントに固有の構造を分離できることに気づいたときに訪れました。すべての学習済みモデルが持つ共通の整列を数学的に取り除くことで、彼らは「残差シグネチャ」を取り出しました。この残っている断片は、そのモデルの正確な学習履歴に特有の、指紋のようなものです。それは、そのモデルの創造過程において、内部の数値がどのように調整されたかを捉えています。チームは、これら二つのモデル間のシグネチャを比較するためのスコアリングシステムを作成しました。もしモデルが同じ親を持つならば、一方が大幅に修正、圧縮、あるいは他のモデルとマージされていたとしても、それらの固有のシグネチャは密接に一致します。もし無関係であれば、シグネチャを比較した際に、それらはランダムなノイズのように見えることになります。

このアイデアをテストするため、研究者たちは様々なサイズと複雑さを持つモデルを用いて一連の厳格な実験を行いました。彼らはベースモデルを取り上げ、新しいデータへのファインチューニング、プルーニングによるサイズ削減、あるいは高速化のための圧縮といった、一般的な現実世界の変換を施しました。また、オリジナルの挙動を模倣するようにゼロから訓練された独立したモデルも作成しました。結果は驚くべきものでした。新しいスコアリング手法は、どれほどモデルが変更されていても、あらゆる真の末裔を特定することに成功しました。また、それらが独立したモデルであっても、たとえそれらがほぼ同一の挙動を示すように設計されていたとしても、完璧な精度で区別できました。この手法は、コーディング用や一般的な会話用を含む、さまざまな言語モデルのファミリーにおいて機能し、その信号がネットワークの学習における根本的な特性であることを証明しました。

研究者たちはまた、攻撃者がモデルの起源を隠そうとする、より攻撃的なシナリオに対してもこの手法をテストしました。彼らは、モデルの機能を維持したまま、外見を伝統的な検出ツールから攪乱するように、内部コンポーネントをシャッフルしたり、数値を再スケールしたりすることを試みました。従来の手法はこのような条件下では完全に失敗しましたが、新しいシグネチャは安定していました。これは、この手法がコンポーネントの順序や絶対的な大きさに依存するのではなく、それらの間の特定の幾何学的な関係に基づいているためです。研究者たちは、彼らのアプローチが、最も近い競合技術よりも大幅に高速であり、大規模なモデルにおいて数十倍速く動作することも発見しました。このスピードに加え、訓練データやモデルを実行する能力を必要としないという性質は、オープンソースAIのサプライチェーンを監査するための実用的なツールとなります。

実世界のデモンストレーションにおいて、チームは有名なオリジナルに関連していると主張されている一連の公開言語モデルに対してこの手法を適用しました。テストは、真の末裔である3つのモデルを正しく特定し、高い類似度スコアを割り当てました。同時に、同じアーキテクチャを持ちながらも独立して訓練された7つの他のモデルを、スコアがゼロに近い値を示すことで正しくフラグ立てしました。これは、この手法が真の系譜と、単なるアーキテクチャのクローンを区別できることを裏付けました。この研究は、この受動的でデータ不要の信号が、オープンウェイトモデルの歴史を検証するための信頼できる方法であることを示唆しています。それは、モデルの間の目に見えないつながりを見る方法を提供し、たとえ元の作成者が去った後であっても、人工知能の系譜が追跡され、検証され、理解されることを保証するのです。

技術要約：言語モデルの系統検証のための中心化残差シグネチャ（Centered Residual Signatures）

問題定式化

本論文は、オープンウェイト言語モデルにおける**データフリーのホワイトボックス系統検証（data-free white-box lineage verification）**という課題に取り組んでいる。モデルが、ファインチューニング、量子化、プルーニング、マージ（LoRAなど）、および新しい名称での再配布を含む複雑なサプライチェーンを通じて配布されるにつれ、そのプロベナンス（出自）が文書化されなくなったり、意図的に隠蔽されたりすることが増えている。

核となるタスクは以下のように定義される。同一の残差アーキテクチャ（層数 $L$ および隠れ次元 $d$ が同一）を持つ2つの互換性のあるモデルチェックポイント（AとB）が与えられたとき、検証者は重みのみから、それらが**重みレベルの系譜（weight-level ancestry）**を共有しているかどうかを判断しなければならない。

関連あり： ポストトレーニング操作（ファインチューニング、RLHF、プルーニング、量子化、マージ）を通じて共通の祖先から重みを継承したチェックポイント。
関連なし： たとえアーキテクチャ、学習データ、または行動的出力が共通であっても（例：ゼロから学習された蒸留された生徒モデルは、教師モデルとは無関係である）、独立して初期化されたチェックポイント。

既存の手法は、この設定では機能しない。暗号学的ハッシュはわずかな重みの変化で壊れ、メタデータは信頼を必要とし、ウォーターマークは事前の挿入が必要であり、行動類似性指標（CKA、SVCCA）はデータやフォワードパスを必要とし、かつ重みの継承ではなく機能的な類似性を測定してしまうためである。

手法：中心化残差シグネチャ（Centered Residual Signatures）

提案手法は、学習済み残差ネットワークの構造的特性である、分岐積における**トレース集中（trace concentration）**を利用する。

1. 分岐積におけるトレース集中

残差ブロック $x_{\ell+1} = x_\ell + F_\ell(x_\ell)$ において、残差ブランチ $F_\ell$ は通常、非線形層が挟み込まれた線形層で構成される。線形因子を合成し、非線形部分を省略することで、分岐積行列 $M_\ell = W_K \dots W_1 \in \mathbb{R}^{d \times d}$ を得ることができる。
フロベニウス内積の下で、任意の行列は、アイデンティティに整列した成分と無跡（traceless）な剰余成分に分解できる：
$M_\ell = \frac{\text{tr}(M_\ell)}{d}I + E_\ell$
ここで $\text{tr}(E_\ell) = 0$ である。
学習は、正しくペアリングされた分岐積において強いアイデンティティ整列を誘発する。つまり、トレース集中スコア $s(M) = |\text{tr}(M)| / \|M\|_F$ が高くなる。しかし、この特性は一般的であり、独立して学習されたモデルも高いトレース集中を示す。したがって、トレース集中単体では系統を確立できない。

2. 中心化残差シグネチャ

系統を特定するために、本手法は一般的なアイデンティティ整列成分を除去し、チェックポイント固有の剰余成分 $E_\ell$ （論文内では $R_\ell$ と表記）に焦点を当てる。

シグネチャ抽出： 各ブロック $\ell$ について、無跡な剰余成分を単位ベクトル $\phi_\ell$ に正規化する。
整列（Alignment）： リファレンス $A$ と疑疑モデル $B$ の間で、類似度行列 $G_{ij} = \langle \phi^A_i, \phi^B_j \rangle$ を構築する。ハンガリアン法を用いて最適なブロック置換 $\pi^*$ を復元し、ブロックの対応関係を高精度に復元する（標準的なMLPパスにおいて100%の精度）。
系統スコア： 最終的な対称スコア $L(A, B)$ は、整列されたブロック間における中心化シグネチャのコサイン類似度の平均である：
$L(A, B) = \frac{1}{L} \sum_{\ell=1}^L \langle \phi^A_\ell, \phi^B_{\pi^*(\ell)} \rangle$
検証： スコアは、独立して学習されたモデルから生成された経験的なヌル分布に対して較正される。チェックポイントの $L(A, B)$ が、独立したモデルに対して観察された最大スコアを超えた場合、「関連あり」とみなされる。

3. 理論的メカニズム

論文では、観察されたアイデンティティ整列の説明として**勾配結合（gradient-coupling）**を提唱している。残差ネットワークにおいて、スキップ接続はブランチがアイデンティティパスの周囲で補正を学習することを強制する。その結果、ブランチの入力重みと出力重み（ $W_{in}$ と $W_{out}$ ）は、対角線上に蓄積される相関した勾配を介して更新される。この結合は特定のチェックポイントの学習ダイナミクスに特有のものであり、関数保存型の変換（ニューロンの置換や逆数スケーリングなど）を生き残り、一方で再初期化によって破壊される。

主な貢献

問題の定式化： データフリーのペアワイズ・ウェイト系統検証を定義し、一般的な学習アーティファクトからチェックポイント固有の構造を分離する中心化残差シグネチャを導入した。
モデルレベルのスコア： 経験的ヌル較正を備えた対称スコアを構築し、MLPブロック内における隠れユニットの置換および逆数スケーリングに対する代数的な不変性を実現した。
堅牢な評価： コントロールされたベンチマークにおいて、制御された descendants（ファインチューニング、LoRAマージ、プルーニング、量子化されたもの）を、独立および蒸留されたモデルからAUROC=1.0で分離できることを示した。極めて重要な点として、本手法は**関数保存型のチェックポイント・ローンダリング（置換およびスケーリング）**に対して不変であるが、標準的な重み空間ベースライン（コサイン類似度、フロベニウス距離）は失敗するか、大幅なマージンを失う。
汎用性： 基盤となるトレース集中信号が、6つの言語モデルファミリー（GPT-2, BERT, LLaMA-2, Mistral, Qwen2.5, DeepSeek-R1）にわたって現れること、および視覚（ViT, ResNet）や音声（Whisper）のアーキテクチャにも拡張可能であることを示した。

実験結果

ベンチマーク： 残差MLPおよび30MパラメータのGPT-2ベンチマークで評価。
- 系統検出： 関連するチェックポイントと無関係なチェックポイントを区別する際、AUROC=1.0および高いGap-Zマージン（例：GPT-2で+31.0）を達成した。
- ローンダリング耐性： 関数保存型のローンダリング（置換およびスケーリング）条件下において、提案手法はAUROC=1.0を維持した。対照的に、重みコサイン類似度はAUROC=0.80（Gap-Zマージンの崩壊を伴う）に低下し、整列されたフロベニウス距離は強いスケーリングの下で失敗した。
- 効率性： 本手法は、GPT-2において最も近い堅牢なベースライン（Re-Basin+scale）よりも76倍高速に動作する（5ms vs 388ms）。これは、反復的な整列探索を回避し、分岐積を直接計算するためである。
公開ケーススタディ： LLaMA-2の公開チェックポイントに適用。本手法は、3つの文書化されたdescendants（Chat, Vicuna, CodeLlama）を高いスコア（ $L \ge 0.33$ ）で正しく特定し、7つの独立して学習されたアーキテクチャ・クローン（OpenLLaMA, Amber, Baichuan等）を無関係（ $|L| < 5 \times 10^{-5}$ ）として正しく分類した。
挙動との区別： 本手法は、重みの系譜と行動の類似性を区別することに成功した。教師の出力を模倣する蒸留された生徒モデルは、スコアがほぼゼロ（ $L \approx 0.002$ ）となり、本手法が機能的な模倣ではなく、共有されたパラメータを検出していることを裏付けた。

意義および限界

意義：
本論文は、互換性のあるオープンウェイト言語モデルのための受動的でデータフリーなプロベナンス信号を確立した。これにより、モデルのサプライチェーンを監査し、単に挙動が似ている、あるいはアーキテクチャを共有しているだけのモデルではなく、真の重みのdescendantであることを検出することが可能になる。本手法は、内部構造を再配置しても挙動を変えないローンダリングの試みに対して堅牢であるという点で特に重要である。

限界（著者による記載）：

ホワイトボックスの要件： 重みへのアクセスが必要である。API経由のみのモデルは検証できない。
アーキテクチャの制約： 残差アーキテクチャ（Transformer, ResNetなど）に限定される。単純なフィードフォワードネットワーク、RNN、および状態空間モデル（SSM）は対象外である。
互換性： 深さと隠れ次元が一致している必要がある。クロスアーキテクチャの検証はサポートされていない。
対称性： スコアは対称的であり、外部のメタデータなしには、どちらが祖先でどちらが子孫であるかという方向性を決定できない。
部分的継承： 線形マージやレイヤーグラフにおいてスコアは共有ブロックの割合を反映するが、マルチホップの系譜や家系図を再構成することはできない。
較正： 同一アーキテクチャの独立したモデルから得られるヌル分布を必要とする。統計的保証のための有効サンプルサイズは、比較の数ではなく、独立したルート（根）の数によって制限される。
強力な攻撃への耐性： 標準的なローンダリングには堅牢だが、激しいプルーニング（85%のスパース性）や広範な継続事前学習は信号を弱める可能性がある（ただし、ヌル分布よりは検出可能なままとなる）。関数保存型であっても、残差ストリームの直交回転は理論的に信号を破壊する可能性があるが、そのようなアーキテクチャはデプロイされたモデルでは標準的ではない。