Functional Subspace Watermarking for Large Language Models

1. O Problema

A rápida disseminação de Grandes Modelos de Linguagem (LLMs) de pesos abertos (como Llama, Qwen, Mistral) levantou preocupações críticas sobre a propriedade intelectual e a proveniência dos modelos. Embora existam métodos de marcação de água baseados em conteúdo (que alteram a saída do texto), eles são vulneráveis a pipelines de extração fortes, especialmente quando um adversário cria um modelo estudante via distilação de conhecimento que reproduz as capacidades sem preservar o sinal original.

Métodos existentes de marcação de água no próprio modelo (embedding em pesos ou representações internas) enfrentam um desafio fundamental: robustez. Durante modificações reais do modelo, como fine-tuning (ajuste fino), quantização, poda (pruning) ou distilação, as características internas sofrem distorções complexas que frequentemente apagam a marca de água, tornando a extração do sinal de propriedade impossível ou não confiável.

2. Metodologia: FSW (Functional Subspace Watermarking)

Os autores propõem o FSW, um framework que ancora os sinais de propriedade em um "esqueleto funcional" de baixa dimensão do modelo. A premissa central é identificar um subespaço latente que é crítico para o desempenho da tarefa e, ao mesmo tempo, estável sob transformações de compressão.

O processo é dividido em cinco fases estruturadas:

Fase 1: Extração de Representação

Extraem-se as representações ocultas (hidden states) de uma camada intermediária fixa do modelo autoregressivo. O estado do último token é escolhido como o gargalo de informação para previsão do próximo token, servindo como o portador ideal para marcação semântica.

Fase 2: Análise Geométrica

Dois aspectos são analisados para construir o subespaço de injeção:

1. Sensibilidade Funcional: Utiliza a Matriz de Informação de Fisher ($F$) para quantificar a relevância de cada direção de representação para a tarefa. Direções com alta sensibilidade contêm o conhecimento central do modelo; perturbá-las alteraria drasticamente a saída.
2. Invariância à Compressão: Define-se uma família de operadores de compressão ($A$) que simulam perda de precisão (quantização), projeção linear e dropout estrutural. Calcula-se uma matriz de variância ($C_A$) que representa o ruído introduzido por essas transformações.

Fase 3: Construção e Otimização do Subespaço

O objetivo é encontrar um subespaço que maximize a relação sinal-ruído entre a sensibilidade funcional e a variância induzida pela compressão. Isso é formulado como um Problema de Autovalor Generalizado (GEVP):
$$F u_i = \lambda_i C_A u_i$$
Onde $\lambda_i$ representa a pontuação de robustez da direção $i$.

• Estratégia de Truncamento Espectral Adaptativo: Para evitar a degradação do desempenho do modelo (usar apenas os autovalores mais altos) ou a fácil remoção da marca (usar os mais baixos), o método seleciona um intervalo ótimo de autovalores ($\tau_{lower} \cdot \lambda_1 \le \lambda_i \le \tau_{upper} \cdot \lambda_1$). Isso define o Subespaço Funcional Estável ($U^*$).

Fase 4: Projeção e Consistência

• Projeção Ancorada: Define-se um sistema de coordenadas estável subtraindo a média global da representação do modelo original.
• Restrição de Consistência Vetorial: Introduz-se uma função de perda ($L_{con}$) para garantir que a projeção da representação no novo modelo com marca de água permaneça consistente com a do modelo original, preservando o desempenho semântico.

Fase 5: Embutimento e Verificação

• Embutimento: Uma chave secreta composta por vetores ortogonais é usada para codificar mensagens binárias no subespaço funcional, minimizando uma função de perda baseada em margem.
• Verificação Estatística: A propriedade é verificada calculando um escore de detecção agregado ($S$). Sob a hipótese nula (sem marca), o escore segue uma distribuição normal, permitindo testes estatísticos rigorosos com taxas de falsos positivos extremamente baixas.

3. Principais Contribuições

1. Framework FSW: Um método inovador que localiza um "esqueleto funcional" crítico e estável no modelo, utilizando um problema de autovalor generalizado para desacoplar a sensibilidade da tarefa da variância da compressão.
2. Esquema de Verificação Multi-bit: Um sistema de verificação baseado em chaves ortogonais que transforma a validação de propriedade em um teste estatístico rigoroso, sem comprometer a geração original do modelo.
3. Robustez Comprovada: Extensivos experimentos demonstram que o método supera os métodos state-of-the-art (SOTA) em cenários de ataque agressivos, mantendo a utilidade do modelo.

4. Resultados Experimentais

Os autores testaram o FSW em diversas arquiteturas (LLaMA-2, LLaMA-3, Qwen2.5, Mistral, DeepSeek) e datasets.

• Preservação Funcional: O método manteve o desempenho do modelo (PPL e acurácia em tarefas como HellaSwag e ARC) com degradação mínima ou nula. Por exemplo, no LLaMA-3-8B, o aumento no PPL foi de apenas +0.37, mantendo 71.8% de acurácia.
• Robustez a Ataques:
  • Fine-tuning (LoRA/SFT): O sinal de marca de água permaneceu recuperável com alta precisão de bits (até 100% em alguns casos).
  • Quantização e Poda: O método mostrou-se resistente à perda de precisão e poda estrutural. Em alguns casos, o escore de detecção até aumentou após a quantização.
  • Distilação de Esqueleto (Backbone Distillation): Mesmo após reparametrização pesada dos pesos, o FSW manteve a verificação de propriedade, alcançando 100% de precisão de bits no DeepSeek-7B-Chat, onde métodos concorrentes falharam.
• Capacidade vs. Utilidade: A análise de ablação mostrou que uma capacidade de 16 bits é o ponto ótimo, equilibrando a carga de informação com a estabilidade estrutural do modelo. Acima disso, a utilidade do modelo degrada-se significativamente.
• Validação Estatística: Os resultados de detecção superaram consistentemente os limiares teóricos, rejeitando a hipótese nula com probabilidade de falsos positivos próxima de zero (ex: $\alpha = 10^{-8}$).

5. Significância e Impacto

O trabalho preenche uma lacuna crítica na proteção de propriedade intelectual de LLMs. Ao ancorar a marca de água em um subespaço funcional invariante à compressão, o FSW oferece uma solução robusta contra as ameaças mais difíceis de detecção, como a distilação de conhecimento e a re-otimização de modelos.

• Segurança: Permite que desenvolvedores provem a origem de um modelo suspeito mesmo após modificações agressivas.
• Viabilidade Prática: O custo computacional adicional é gerenciável para modelos na escala de 7B, e o método não degrada a qualidade do serviço do modelo.
• Futuro: Estabelece um novo paradigma para marcação de água em modelos, focando na estabilidade estrutural e funcional em vez de apenas na modificação de pesos aleatórios.

Em resumo, o FSW representa um avanço significativo na garantia de que a propriedade de modelos de IA possa ser verificada de forma confiável, mesmo em um cenário onde os modelos são constantemente adaptados, comprimidos e redistribuídos.