🤖 machine learning

modelDNA: Calibrated Lineage Verification and Merge Decomposition from Sampled Weight Fingerprints

Este artigo apresenta o modelDNA, uma ferramenta que verifica a linhagem de modelos e decompõe fusões de pesos usando impressões digitais calibradas derivadas de leituras parciais de HTTP, alcançando precisão perfeita em benchmarks sem exigir downloads completos do modelo.

Autores originais: Muhammad Awais Bin Adil, Saad Aamir

Publicado 2026-07-14

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Muhammad Awais Bin Adil, Saad Aamir

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

O Detetive de DNA para Modelos de IA

Imagine que a maior biblioteca de cérebros de IA da internet (chamada Hugging Face) é uma cidade caótica de quase três milhões de "casas" de modelos. Nesta cidade, qualquer pessoa pode construir uma casa, mas a placa na porta da frente dizendo "Construída a partir das plantas da Casa X" é opcional. Na verdade, mais de 60% dessas casas não têm placa nenhuma. Às vezes, um construtor afirma ter inventado uma nova casa do zero, mas, na realidade, apenas copiou as plantas de outra pessoa, pintou por cima delas ou misturou duas casas.

Por muito tempo, descobrir quem copiou quem exigia um detetive com um supercomputador, um fim de semana inteiro e muita sorte. Se um conflito surgisse — como quando duas empresas discutiam sobre quem era o dono de um cérebro de IA específico — não havia uma ferramenta neutra para decidir a questão.

Conheça o modelDNA. Pense nele como um scanner forense que não precisa se mudar para a casa ou mesmo baixar a casa inteira. Em vez disso, ele tira uma "impressão digital" rápida dos arquivos de pesos do modelo.

A Magia do "Escaneamento Rápido"

Normalmente, baixar um modelo de IA padrão de 7 bilhões de parâmetros é como tentar beber um oceano inteiro; é um arquivo massivo de 15 GB. O modelDNA é mais inteligente. Ele só precisa dar uma espiada em cerca de 100 a 300 MB do arquivo.

Como? Imagine que o arquivo é um livro gigante. Em vez de ler cada palavra, o modelDNA tem um mapa secreto que lhe diz exatamente quais páginas deve folhear. Ele lê apenas os parágrafos certos (partes específicas da matemática dentro do modelo) para criar um cartão de identidade único. Isso leva cerca de dois minutos em um laptop comum, sem necessidade de placa de vídeo.

Este scanner procura por quatro tipos diferentes de "pistas" (sinais) escondidas na matemática:

O Ritmo: Como as camadas de atenção "batem" (desvios padrão).
A Forma: O tamanho e a direção geral dos números.
O Padrão: Amostras específicas dos números comparadas diretamente.
O Espectro: As frequências ocultas nos dados que sobrevivem mesmo se os números forem embaralhados.

O Veredito: "Estatisticamente Consistente", Não "Culpado"

A ferramenta foi projetada para ser incrivelmente cuidadosa. Ela prefere dizer "não tenho certeza" a acusar um modelo inocente de ser um imitador. Quando escaneia um modelo, ela compara a impressão digital contra um banco de dados de 37 "pais" conhecidos (como Llama, Mistral, Qwen e outros).

Em seguida, ela entrega a você um de oito vereditos:

Cópia Exata: "Isto é um clone."
Cópia Quantizada: "Isto é um clone, mas encolhido para caber em uma caixa menor."
Fine-Tune: "Este é um filho daquele pai, treinado com novos dados."
Provável Merge: "Isto é uma mistura de dois ou mais pais."
Mesma Família (Não Resolvido): "Eles são primos, mas não consigo dizer qual é o pai direto."
Sem Correspondência: "Isto parece não ter relação com ninguém em nosso banco de dados."
Insuficiente: "Não consegui pistas suficientes para decidir."
Abstenção: "Não tenho confiança suficiente para dizer qualquer coisa."

Se a ferramenta indica uma correspondência, ela fornece uma pontuação de probabilidade. Por exemplo, ela pode dizer: "Os pesos são estatisticamente consistentes com serem derivados de Mistral-7B com uma probabilidade de 0,99". Ela nunca diz apenas "Isto é uma cópia"; ela diz que a matemática se alinha com essa história.

O Mistério do "Smoothie": Desmistificando as Misturas (Merges)

Um dos truques mais legais que o modelDNA consegue fazer é a decomposição de merge. Imagine que alguém pega um smoothie de morango e um smoothie de mirtilo, mistura os dois e afirma que é um novo sabor "Berry Blast". Você consegue dizer quanto de morango e quanto de mirtilo há ali?

No mundo da IA, as pessoas misturam modelos entre si (usando ferramentas como o mergekit). O modelDNA consegue olhar para a impressão digital do "Berry Blast" e fazer a engenharia reversa da receita. Como o processo de mistura é linear (como somar números), a ferramenta consegue resolver o quebra-cabeça para encontrar as porcentagens exatas.

Em testes, ele recuperou com sucesso a receita de um merge "slerp" (um tipo específico de mistura) com uma correlação de 0,999, e obteve as porcentagens de um merge "dare_ties" com uma margem de 0,011 em relação à receita original. Ele fez isso sem nunca baixar os modelos completos, usando apenas as pequenas impressões digitais.

O Que Ele Não Pode Fazer (As Regras)

O artigo é muito honesto sobre o que esta ferramenta não consegue fazer:

Sem "Leitura de Mente": Não consegue detectar se um modelo foi "destilado" (ensinado pelas respostas de outro modelo em vez de seus pesos). Se o professor nunca tocou nos pesos do aluno, a impressão digital não mostrará isso.
Sem "Lista de Candidatos Mágica": Para desmisturar um smoothie, você precisa saber quais frutas podem estar nele. Se você pedir ao modelDNA para desmisturar um modelo mas não fornecer a lista de possíveis pais, ele pode adivinhar a "ancestralidade" (trisavós) em vez da receita imediata.
Sem "Prova Perfeita": A ferramenta admite que um hacker determinado poderia tentar falsificar as impressões digitais. Embora a ferramenta use quatro pistas diferentes para tornar a falsificação difícil, ela não afirma ser inquebrável.
Sem "Deep Learning" em Tempo Real: Ela não executa o modelo para ver como ele responde a perguntas; ela apenas olha para os arquivos matemáticos estáticos.

O Histórico de Desempenho

Os autores testaram isso em 15 modelos reais que tinham pais conhecidos (verificados pelas organizações que os criaram). Eles os colocaram contra 107 "negativos difíceis" (modelos que parecem semelhantes, mas não são relacionados).

Os resultados foram nítidos:

AUROC 1.0: Esta é uma pontuação perfeita para distinguir correspondências reais de falsificações.
Zero Falsos Positivos: Nunca acusou um modelo não relacionado de ser um pai.
13/13 Corretos: Identificou corretamente o pai principal para cada um dos casos de teste.

No entanto, o artigo observa que este é um teste de "cidade pequena" (15 modelos). Embora os resultados sejam perfeitos até agora, os autores são cuidadosos ao dizer que isso não significa que seja impossível errar no futuro. Eles estão construindo um teste maior para ter certeza.

A Conclusão

O modelDNA é uma ferramenta que traz ordem à caótica cidade da IA. Ele não grita acusações; ele apresenta evidências. Ele diz: "Com base na matemática que espiamos, este modelo parece 99% um filho daquele ali". Ele transforma uma internet bagunçada e não verificada em um lugar onde a linhagem pode ser checada, verificada e até mesmo "desmisturada", tudo no tempo necessário para passar um café.

Resumo Técnico: modelDNA – Verificação de Linhagem Calibrada e Decomposição de Merge

Problema
O grafo de linhagem de modelos de linguagem de pesos abertos no Hugging Face é atualmente autorrelatado e amplamente não verificado. O campo de metadados base_model é opcional e frequentemente ausente (em mais de 60% dos modelos), levando a uma falta de transparência em relação à ancestralidade do modelo. Embora existam pesquisas para detectar linhagem via análise de pesos, os métodos atuais são fragmentados, vinculados a experimentos específicos e exigem downloads completos do modelo ou recursos de GPU. Isso cria um gargalo onde disputas de proveniência (por exemplo, a controvérsia Pangu Pro vs. Qwen2.5) não podem ser resolvidas de forma neutra ou eficiente. Além disso, ferramentas existentes têm dificuldade com modelos de "merge" (fusão), onde múltiplos pais são combinados, e carecem de pontuações de confiança calibradas, correndo o risco de falsas acusações.

Metodologia
O modelDNA aborda essas questões por meio de uma ferramenta forense passiva, operando apenas em CPU, que trabalha com impressões digitais de pesos amostrados em vez de downloads completos do modelo.

Impressão Digital Eficiente (Fingerprinting):
- Estratégia de Amostragem: Em vez de baixar os pesos completos (ex: 15 GB para um modelo 7B), o modelDNA realiza leituras HTTP por intervalo (100–300 MB) para extrair elementos de tensores específicos.
- Alinhamento Determinístico: As posições de amostragem são derivadas como funções puras de uma semente global, papel canônico do tensor (ex: attn.q, mlp.down), índice da camada e tamanho do tensor. Isso garante que as impressões digitais de diferentes modelos sejam alinhadas em termos de elementos sem a necessidade de inspecionar o conteúdo primeiro.
- Suporte de Formato: Suporta safetensors e GGUF (via desquantização nas posições de amostragem), lidando com o ruído de quantização ao comparar contra pais de precisão total.
Quatro Famílias de Sinais:
A impressão digital agrupa quatro famílias distintas de sinais para detectar linhagem através de várias transformações (ajuste fino, fusão, quantização, reparametrização):
- F1 ( $\sigma$ -curvas de Atenção): Desvios padrão por camada das projeções de atenção/MLP.
- F2 (Vetores 1-D): Ganhos de norma e vieses (biases).
- F3 (Amostras PCS): Amostras de elementos com semente de projeções 2-D (similaridade de cosseno).
- F4 (Espectros): Top-32 valores singulares por camada amostrada, invariantes a reparametrizações ortogonais.
Motor de Veredito Calibrado:
- As evidências dos quatro sinais são agregadas em um modelo logístico.
- Abstenção e Calibração: O sistema prioriza a precisão sobre a revocação (recall). Ele imputa sinais ausentes com médias de fundo de pares não relacionados para garantir que a "ausência de evidência" nunca seja tratada como evidência.
- Classes de Veredito: Produz uma de oito classes (ex: EXACT_COPY, FINE_TUNE, LIKELY_MERGE, INSUFFICIENT). Uma alta threshold de confiança ( $p \ge 0.90$ ) é aplicada para evitar falsas acusações.
Decomposição de Merge:
- Linearidade de Merges: O sistema aproveita o fato de que os principais métodos de merge (Slerp, Task Arithmetic, TIES, DARE) são (quase-)lineares por tensor.
- Regressão Restrita: Como as impressões digitais de modelos fundidos são combinações lineares das impressões digitais dos pais, os pesos de mistura podem ser recuperados via mínimos quadrados com restrição de soma unitária.
- Espaço de Vetor de Tarefa (Task-Vector Space): Ao restringir os pesos para que somem um, a regressão muda do espaço de peso bruto mal condicionado para o espaço de vetor de tarefa bem condicionado (deltas de uma base), permitindo a recuperação de curvas de interpolação e pesos de mistura sem acesso aos pesos totais.

Principais Contribuições

Uma Ferramenta de Impressão Digital Portátil: Um método para gerar impressões digitais comparáveis a partir de ~100–300 MB de leituras HTTP, permitindo a verificação de linhagem em hardware padrão sem downloads completos.
Sistema de Veredito Calibrado: Um framework que mapeia evidências para oito classes distintas com probabilidades calibradas, lidando explicitamente com dados ausentes e abstendo-se quando a evidência é insuficiente para evitar falsos positivos.
Decomposição de Merge a partir de Impressões Digitais: A primeira demonstração de que pesos de mistura e curvas de interpolação de camadas de modelos fundidos podem ser recuperados algebricamente apenas a partir de impressões digitais amostradas, validado contra configurações de merge públicas.
LineageBench: Um benchmark de 15 modelos reais do Hub com verdade fundamental documentada pelas organizações (não dependendo de tags de metadados), acompanhado de caches de impressão digital comprometidos para reprodutibilidade offline.

Resultados

Verificação de Linhagem: No LineageBench (13 casos positivos, 107 negativos difíceis), o sistema alcançou um AUROC de 1.0, zero falsos positivos no limiar de relatório e 13/13 atribuições corretas de pai top-1.
Decomposição de Merge:
- Recuperou curvas de interpolação de camada Slerp com correlação $r = 0.999$ .
- Recuperou pesos de mistura dare_ties dentro de 0.011 dos valores de verdade fundamental publicados.
- Identificou com sucesso merges de mudança de profundidade (ex: SOLAR-10.7B) como NO_MATCH devido a incompatibilidades na contagem de camadas, evitando decomposições incorretas.
Desempenho: A geração da impressão digital de um modelo 7B leva aproximadamente dois minutos em uma conexão padrão.

Significância e Alegações
O artigo posiciona o modelDNA não como uma nova ferramenta de descoberta de sinais, mas como um instrumento forense de nível de produção que resolve as lacunas de engenharia "pouco glamorosas" da pesquisa existente: calibração, abstenção e reprodutibilidade.

Consistência Estatística, Não Prova: A ferramenta enquadra explicitamente os resultados como "os pesos são estatisticamente consistentes com a derivação de X", evitando acusações absolutas.
Segurança em Primeiro Lugar: A filosofia de design prioriza evitar falsas acusações (risco de difamação) sobre a maximização da revocação, utilizando limiares conservadores e distribuições de fundo.
Transparência: Ao tornar públicas e reprodutíveis offline as impressões digitais, os benchmarks e o grafo de linhagem inferido de 55 modelos, a ferramenta visa fornecer um padrão neutro e verificável para resolver disputas de proveniência na comunidade de pesos abertos.
Limitações: Os autores reconhecem que a destilação é invisível para a forense de pesos, a reparametrização adversária pode derrotar sinais de similaridade direta (embora sinais espectrais ofereçam contramedidas), e as magnitudes de probabilidade são menos validadas que os rankings. A ferramenta atualmente rejeita merges de mudança de profundidade e requer uma lista de candidatos para decomposição.