Resumo Técnico: Ecos no Raciocínio: Marca d'Água Furtiva e Eficaz via Cadeia de Pensamento

1. Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs) com capacidades de raciocínio em Cadeia de Pensamento (CoT) representam propriedade intelectual de alto valor, mas enfrentam ameaças severas de roubo não autorizado e comercialização sem licença. Os métodos existentes de marca d'água em caixa preta lutam para equilibrar robustez com utilidade do modelo.

• Abordagens baseadas em backdoor dependem de padrões fixos de gatilho-ação, o que força os modelos a superajustar, comprometendo a fidelidade em tarefas complexas e a generalização. Elas também são vulneráveis à detecção e filtragem se os gatilhos forem vazados.
• Abordagens baseadas em edição de modelo tratam marcas d'água como conhecimento estático a ser memorizado via modelos rígidos, tornando-as frágeis contra mudanças de distribuição ou ataques adaptativos nas estruturas de prompts.
• Limitação Fundamental: Ambos os paradigmas tipicamente verificam a propriedade modificando a Resposta Final. Isso cria um conflito de soma zero entre correção (utilidade) e força da marca d'água. Modificar a resposta final frequentemente degrada o desempenho do modelo em tarefas subsequentes.

O artigo postula que existe um paradigma para alcançar tanto furtividade quanto eficácia, preservando estritamente a fidelidade do modelo, ao deslocar o espaço de verificação da resposta final para o processo de raciocínio em Cadeia de Pensamento (CoT).

2. Metodologia: BiCoT

Os autores propõem o BiCoT (Cadeia de Pensamento de Dois Níveis), um framework de marca d'água que incorpora sinais de propriedade na geometria interna dos rastros de raciocínio, em vez da saída final. O método opera em três etapas:

A. Formulação Geométrica (Etapa I)

O BiCoT modela o estado latente do LLM como uma trajetória em uma Variedade de Raciocínio de alta dimensão.

• Âncoras Estruturais: Através de análise de saliência de gradiente, os autores identificam que tokens específicos (por exemplo, dígitos em raciocínio matemático, conectivos lógicos em outros domínios) atuam como "âncoras estruturais" que governam desproporcionalmente a dinâmica do raciocínio.
• Alinhamento de Variedade: O framework define um Subespaço de Assinatura privado ($S_v$) parametrizado por um vetor unitário $v$.
  • Tokens Âncora: Seus estados ocultos são constrangidos a colapsar sobre o subespaço de assinatura ($\cos(h_t, v) \to 1$).
  • Tokens de Controle: Tokens linguísticos comuns (conectores, palavras vazias) são forçados a permanecer ortogonais à assinatura ($\cos(h_t, v) \to 0$) para preservar a capacidade semântica e a fidelidade do raciocínio.
• Halo Causal: Tokens imediatamente seguintes a uma âncora são tratados como uma categoria separada; eles podem exibir alinhamento residual de curto alcance, mas decaem rapidamente, garantindo que a marca d'água não contamine globalmente o texto comum.

B. Injeção de Marca d'Água (Etapa II)

O processo de injeção é formulado como um problema de Otimização de Dois Níveis:

• Loop Interno: Calcula uma perturbação virtual de estado oculto ($\delta^*$) que maximiza a projeção dos estados de âncora sobre o subespaço de assinatura.
• Loop Externo: Atualiza os parâmetros do modelo ($\theta$) para minimizar um objetivo combinado:
  1. Perda de Tarefa ($L_{task}$): Garante que o modelo mantenha o desempenho em tarefas de raciocínio subsequentes.
  2. Perda Geométrica ($L_{geo}$): Impõe o colapso das âncoras para a assinatura e a ortogonalidade dos tokens de controle.
  3. Regularizador de Consistência ($L_{KL}$): Mantém a consistência local entre o modelo com marca d'água e o modelo base em prefixos de CoT.
     Este design acopla a marca d'água com representações relevantes para o raciocínio, tornando a remoção difícil sem interromper os recursos que sustentam o raciocínio coerente.

C. Registro de Subespaço Robusto (Etapa III)

Para lidar com o desvio de representação causado por ataques (por exemplo, ajuste fino, quantização), os autores introduzem o Registro de Subespaço Robusto (RSR).

• Tokens Sentinelas: Um conjunto de tokens pré-identificados, sensíveis ao subespaço de assinatura, é usado como sondas.
• Calibração de Desvio: O verificador estima o vetor de desvio distribucional sistemático ($\hat{\mu}_{drift}$) calculando o desvio mediano dos tokens sentinelas em relação às suas estatísticas base.
• Re-alinhamento: Os logits observados são corrigidos subtraindo o desvio estimado, efetivamente realocando a variedade desviada de volta para o espaço de assinatura canônico antes do teste de hipótese.
• Verificação: O sistema realiza um teste de hipótese nos logits calibrados dos tokens sentinelas usando apenas as Top-$k$ probabilidades-log (acesso em caixa preta).

3. Contribuições Principais

1. Análise Causal de CoT: O artigo revela que a geração em CoT possui uma hierarquia causal distinta onde "âncoras estruturais" específicas governam a dinâmica do raciocínio. Demonstra que o CoT oferece um portador mais rico, de maior capacidade e mais diversificado para sinais do que a resposta final de baixa entropia.
2. Framework BiCoT: Um paradigma de marca d'água inovador que incorpora a propriedade na geometria da variedade de raciocínio. Utiliza otimização de dois níveis para emaranhar a marca d'água com o próprio processo de raciocínio, enquanto trata tokens de controle de forma ortogonal para preservar a utilidade.
3. Verificação Robusta (RSR): Um verificador em caixa preta capaz de lidar com desvio de representação via registro baseado em sentinelas, garantindo detecção confiável mesmo sob perturbações no nível do modelo e ataques adaptativos.

4. Resultados Experimentais

Os experimentos foram conduzidos principalmente no Qwen2.5-7B-Instruct e validados em Mistral-7B, DeepSeek-7B e Qwen2.5-14B.

• Detectabilidade: O BiCoT alcança 1.0 AUC e 100% de Taxa de Sucesso da Marca d'Água (WSR) em taxas de falsos positivos (FPR) de 0,1% e 1,0% em todos os modelos testados, superando significativamente baselines como iSeal, llmmap e SEAL.
• Fidelidade: O modelo com marca d'água preserva o desempenho em tarefas subsequentes. Em tarefas de raciocínio (GSM8K), a degradação de desempenho é marginal ($\approx -0,0083$). Em tarefas de compreensão em nível de frase, as flutuações são mínimas, com algumas tarefas mostrando pequenos ganhos.
• Robustez:
  • Ataques no nível do modelo: A marca d'água permanece detectável (AUC $\approx$ 1,0) sob ruído gaussiano, Ajuste Fino Supervisionado (SFT) de parâmetros completos, Ajuste Fino Eficiente em Parâmetros (PEFT/LoRA) e quantização agressiva (8 bits).
  • Ataques no nível de saída: O método é resiliente a ataques adaptativos, incluindo um ataque direcionado "ANCHOR" onde o adversário mascara explicitamente tokens de dígitos durante a inferência. A marca d'água persiste devido à redistribuição intrínseca dos mecanismos de atenção.
• Estudos de Ablação: Remover a perda de marca d'água resulta em desempenho de chute aleatório. Remover o mecanismo de Re-ancoragem (RSR) causa uma queda catastrófica na detecção sob desvio, validando sua necessidade.

5. Significado e Alegações

O artigo afirma que o BiCoT resolve o compromisso fundamental entre força da marca d'água e utilidade do modelo, desacoplando o sinal de verificação da resposta final. Ao incorporar a propriedade na geometria do processo de raciocínio, o método alcança:

• Furtividade: A marca d'água é invisível no texto de saída final e não depende de gatilhos frágeis.
• Eficácia: Fornece detecção robusta contra ataques adaptativos e desvio do modelo.
• Fidelidade: Preserva estritamente as capacidades de raciocínio e generalização do modelo.

Os autores enfatizam que essa abordagem suporta a proveniência do modelo e a proteção de propriedade intelectual para LLMs de código aberto e comerciais sem comprometer sua utilidade como motores de raciocínio. O trabalho assume um ambiente de caixa preta habilitado para logprob (acesso às Top-$k$ probabilidades do próximo token), que os autores argumentam ser um limite prático para muitas implantações modernas de API, em vez de uma suposição de oráculo irrealista.