LLM Fingerprinting via Semantically Conditioned Watermarks

Título: LLM Fingerprinting via Semantically Conditioned Watermarks (Impressão Digital de LLMs via Marcas D'água Semanticamente Condicionadas)

1. O Problema

O treinamento de Modelos de Linguagem (LLMs) de última geração é extremamente caro, levando os proprietários a adotarem licenças restritivas (ex: proibindo uso comercial). No entanto, deployers maliciosos podem violar essas licenças ao hospedar o modelo via API sem cumprir os termos.
Para combater isso, são necessárias técnicas de impressão digital (fingerprinting) para provar a propriedade do modelo. As abordagens existentes (como Instructional Fingerprinting e Scalable Fingerprinting) sofrem de duas falhas críticas:

1. Fragilidade (Não Robustez): Elas dependem da memorização de pares fixos de "Consulta-Chave" (Query-Key). Pequenas alterações no modelo, como fine-tuning, quantização, poda (pruning) ou até mudanças no system prompt, fazem o modelo esquecer essas respostas específicas, quebrando a impressão digital.
2. Falta de Sigilo (Não Stealthy): As consultas e respostas atípicas (ex: strings aleatórias) são facilmente detectadas e filtradas pelo deployer malicioso, que pode simplesmente bloquear essas entradas ou modificar a saída para remover a assinatura.

2. Metodologia Proposta

Os autores propõem um novo paradigma que substitui pares fixos de consulta-chave por domínios semânticos amplos e sinais estatísticos difusos.

• Domínio Semântico como Consulta: Em vez de usar um conjunto pequeno de perguntas fixas, o método utiliza todo um domínio semântico (ex: qualquer prompt em Francês). Se o prompt pertence a esse domínio, o modelo deve gerar uma resposta com a marca d'água. Isso torna a detecção robusta a perturbações na entrada, pois variações no prompt ainda permanecem dentro do domínio semântico.
• Marcas D'água Estatísticas como Chave: Em vez de memorizar tokens específicos, o modelo é treinado para embutir um sinal estatístico (uma marca d'água) em todo o texto gerado dentro desse domínio. O sinal é baseado no método de marca d'água Red-Green (Kirchenbauer et al., 2023), que aumenta a probabilidade de seleção de certos tokens ("verdes") durante a geração.
• Algoritmo de Embutimento (Distilação):
  • O proprietário do modelo usa um conjunto de dados do domínio alvo ($D_{target}$) e um conjunto de regularização fora do domínio ($D_{reg}$).
  • O objetivo de otimização minimiza a divergência KL entre a distribuição do modelo original e a distribuição com marca d'água apenas em $D_{target}$.
  • Simultaneamente, aplica-se uma perda de regularização em $D_{reg}$ para garantir que a distribuição do modelo não seja alterada fora do domínio alvo, preservando a utilidade geral do modelo.
• Detecção: O proprietário envia múltiplas consultas ($Q$) dentro do domínio semântico. As respostas são concatenadas e um teste estatístico (Z-test) é aplicado para verificar a presença do sinal de marca d'água. A detecção torna-se mais forte à medida que o número de consultas aumenta.

3. Principais Contribuições

1. Novo Paradigma: Substituição de pares consulta-chave frágeis por domínios semânticos e sinais estatísticos robustos.
2. Primeira Implementação de Marcas D'água Condicionadas Semanticamente: O artigo apresenta o primeiro algoritmo capaz de embutir marcas d'água em LLMs de pesos abertos (open-weight) que só são ativas em um domínio específico, sem afetar o restante do comportamento do modelo.
3. Avaliação Extensiva: Demonstração de que o método é o primeiro a ser simultaneamente sigiloso (difícil de detectar por adversários) e robusto contra 25 cenários de implantação comuns e 5 cenários de adversários direcionados.

4. Resultados Experimentais

Os autores avaliaram o método em três modelos (LLaMA3.2-1B, Qwen2.5-3B, LLaMA3.1-8B) usando o domínio "Francês" como alvo.

• Robustez: O método alcançou uma Taxa de Sucesso de Impressão Digital (FSR) de 100% em todos os cenários testados, incluindo:
  • Fine-tuning: Mesmo após ajuste fino completo ou LoRA em datasets gerais (Alpaca, Dolly) ou no próprio domínio alvo (WildChatFr).
  • Quantização: Funcionou com pesos de 4-bit e 8-bit.
  • Poda (Pruning): Resistente a remoção de 20% e 50% dos pesos.
  • Adversários Ativos: Resistente a parafraseamento de saída, tradução reversa e tentativas de forçar a resposta em inglês (o sinal estatístico persiste mesmo que a resposta seja em outra língua, desde que a entrada esteja no domínio alvo).
  • Comparação: As bases de comparação (IF e SF) falharam na maioria desses cenários, especialmente após fine-tuning ou com prompts de sistema alterados.
• Sigilo (Stealth):
  • Um classificador (GPT5-MINI) tentou identificar se as consultas ou respostas eram usadas para detecção de impressão digital.
  • As consultas e respostas do método proposto foram indetectáveis (Recall baixo), ao contrário dos métodos anteriores que usavam strings aleatórias óbvias.
• Utilidade:
  • O impacto na utilidade do modelo (precisão em benchmarks como MMLU, GSM8K) foi negligenciável.
  • Houve uma leve queda na qualidade percebida apenas dentro do domínio semântico (Francês), mas isso pode ser mitigado ajustando a força da marca d'água.
• Custo: O método requer mais tokens para treinamento (embutimento) do que os métodos anteriores, mas o custo é considerado baixo (aprox. $6.00 USD) em relação ao benefício de proteção de IP.

5. Significância e Conclusão

Este trabalho estabelece um novo padrão para a proteção de propriedade intelectual de LLMs de pesos abertos. Ao demonstrar que é possível criar uma impressão digital que sobrevive a modificações comuns de implantação (como fine-tuning e quantização) e que é difícil de detectar por atacantes, o método oferece uma ferramenta viável para empresas exigirem o cumprimento de licenças.

A abordagem resolve o dilema fundamental entre robustez e sigilo: ao usar domínios semânticos naturais e sinais estatísticos distribuídos, a impressão digital torna-se inerentemente resistente a tentativas de remoção, sem degradar significativamente a qualidade do modelo para o usuário final. O trabalho também abre caminho para futuras aplicações, como a marcação de conteúdo prejudicial (harmful content) apenas quando gerado sob certas condições.