💬 NLP

Token Rankings are Unforgeable Language Model Signatures

本文证明了，只要 API 将输出限制在足够小的前 $k$ 个结果内，以防止参数被窃取，同时仍能揭示模型独特的排序模式，那么 Token 排名即可作为语言模型的一种独特且不可伪造的签名，从而在不泄露其参数的情况下对其进行识别。

原作者： Matthew Finlayson, Andreas Grivas, Xiang Ren, Swabha Swayamdipta

发布于 2026-06-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Matthew Finlayson, Andreas Grivas, Xiang Ren, Swabha Swayamdipta

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你有一位非常著名且独特的厨师。这位厨师不仅仅是在烹饪食物，他们对食材在盘中的摆放方式有着极其讲究。即使你无法品尝食物或看到确切的食谱，食材堆叠的顺序也如此独特，以至于它就像指纹一样。

这篇论文介绍了一种利用这个完全相同的概念来识别 AI 语言模型的新方法：即关注词语的顺序，而非它们的精确概率。

以下是他们发现的拆解，使用了简单的类比：

1. 问题所在：“食谱”泄露

此前，为了证明一个 AI 是否如其所言，研究人员会要求 AI 提供其“置信度得分”（它对每个词有多确定）。

类比： 假设 AI 说：“我 99% 确定下一个词是‘猫’，1% 是‘狗’，0.01% 是‘直升机’。”
风险： 如果你拥有这些精确的数字，黑客就可以通过逆向工程还原 AI 的大脑（其内部参数），从而构建出一个伪造的副本。一旦他们拥有了这个伪造副本，他们就能伪造签名，使得人们无法分辨真实的 AI 和伪造的 AI。

2. 解决方案：“排名”签名

作者提出了一种更安全的方法。API 不再提供精确的置信度数值，而只提供排名。

类比： AI 只说：“第 1 名：‘猫’，第 2 名：‘狗’，第 3 名：‘直升机’。” 它并不说明“猫”比“狗”的可能性高出多少。
发现： 作者发现，每个 AI 模型都有自己一套独特的“可能的排名组合”。由于 AI 大脑的构建方式（具体来说是一个限制了其同时持有信息量的“瓶颈”），它只能产生所有可能的词序中极小且特定的一个子集。
结果： 如果你看到一组特定的词序列表，那么它极大概率出自该特定模型之手，而非其他模型。这就像看到一种特定的拼图碎片排列方式；只有特定的拼图盒才能产出这种精确的形状。

3. 为什么它是“不可伪造的”（硬锁）

论文证明了你无法伪造这种签名。

类比： 想象尝试从头开始建造一台新机器，使其能产生与原版厨师完全相同的词序列表。
数学原理： 作者表明，这样做在数学上是一个噩梦。它属于一类极其困难的问题，即使是最强大的计算机也会感到吃力。这不仅仅是“难”，而是从理论上讲，高效地实现这一点是不可能的。即使黑客窃取了模型的“大脑”，他们也无法轻易创建一个能够模仿这种特定排名签名的“不同大脑”。

4. 潜在隐患：“粗略草图”攻击

然而，作者也发现了一个安全风险。如果 API 泄露了完整的排名列表（例如，按顺序排列的前 50,000 个词），黑客可以利用这些信息绘制出 AI 大脑的“粗略草图”。

类比： 这就像是在看一张模糊的人脸照片。你无法完美地识别出那个人，但你可以看出他有鼻子、眼睛和嘴巴。你无法用这张草图伪造签名，但你可以窃取模型的某些“特征”。
解决方法： 作者找到了一个“甜点区（平衡点）”。如果 API 只显示前几个词（例如，前 500 个），签名依然保持唯一且不可伪造，但提供的信息对于黑客来说过于模糊，不足以用来窃取 AI 的大脑。

总结

旧方法： 展示精确概率 $\rightarrow$ 黑客窃取大脑 $\rightarrow$ 黑客伪造签名。
新方法： 只展示词语排名 $\rightarrow$ 签名具有唯一性，且在数学上无法伪造。
安全提示： 不要展示所有排名。只需展示前 $k$ 个（一个较小的数字）。这既能让签名免受伪造者的侵害，也能保护大脑不被窃贼窃取。

这种方法为 AI 公司提供了一种方式来证明：“是的，这个输出确实来自我们的模型”，而不会在无意中交出他们“秘密配方”的钥匙。

技术摘要：Token 排名具有不可伪造性

问题陈述

语言模型（LM）安全性的最新进展探索了如何使用模型输出作为“签名”来识别生成文本的具体模型。之前的几何签名依赖于对 Token 概率（logits）的访问。然而，这种依赖性存在一个关键的安全漏洞：访问 logits 会导致攻击者窃取模型的最终层参数（解嵌入矩阵/unembedding matrix）。一旦这些参数被窃取，攻击者就可以通过构建一个能够复制原始模型几何约束的新模型来伪造签名。

随着 API 提供商越来越多地限制对 Token 概率的访问以防止参数窃取和提示词逆向工程（prompt inversion），业界需要一种满足以下条件的签名机制：

不需要访问 Token 概率。
在计算上是不可伪造的（即：无法构建一个具有相同签名的不同模型）。
即使签名被暴露，也不会泄露模型参数。

方法论

排名签名（The Ranking Signature）

作者提出了一种基于 Token 排名而非概率的新型签名。Token 排名是指按概率排序的 Token 序列（例如， $r = \text{arg sort}(\ell)$ ），而无需揭示概率的具体数值。

可行排名（Feasible Rankings）： 由于“Softmax 瓶颈”（即解嵌入层具有低秩特性，其中嵌入维度 $d$ 远小于词表大小 $v$ ），一个模型只能产生 $v!$ 个可能排名中的极小一部分子集。
唯一性： 特定解嵌入矩阵 $W$ 的可行排名集合是该模型所特有的。作者从理论上刻画了这种稀疏性，表明可行排名的比例随着 $v$ 的增长呈超指数级消失。
Top- $k$ 签名： 作者研究了截断排名（前 $k$ 个 Token）是否仍能保持这种唯一性。他们通过实证确定了区分不同模型所需的最小 $k$ 值，发现存在一个剧烈的转变点，在此之后，Top- $k$ 排名对特定模型而言是唯一的。

不可伪造性证明

论文探讨了伪造签名的计算难度。伪造被定义为寻找一个新的解嵌入矩阵 $W'$ ，使其能够产生与目标模型完全相同的可行排名集合。

复杂度类： 作者证明，寻找一个符合给定排名集合的秩为 $d$ 的矩阵是 $\exists\mathbb{R}$ -hard（实数存在理论硬问题）。
归约： 他们将判定“简单允许序列（simple allowable sequences）”的可实现性问题（一个已知的 $\exists\mathbb{R}$ -完全问题）归约为签名伪造问题。
含义： 由于 $\text{NP} \subseteq \exists\mathbb{R} \subseteq \text{PSPACE}$ ，伪造签名在计算上是难以实现的，即使攻击者可以访问所有可行排名。这与之前的几何签名（如基于椭圆的签名）形成对比，后者仅在多项式时间内难以伪造。

通过排名进行参数窃取

作者还研究了暴露排名是否会泄露模型参数。

攻击机制： 他们证明，完整的 Token 排行可以渐近地恢复解嵌入矩阵 $W$ 的列空间。这基于隐藏状态遵循高斯分布且 Token Logits 具有相等边缘方差的假设。
方法： 通过计算排名的 Spearman 相关性并应用奇异值分解（SVD），攻击者可以近似恢复 $W$ 的列空间。
局限性： 虽然该攻击可以恢复近似的 $W$ ，但这种近似过于粗糙，不足以伪造签名。恢复出的矩阵的可行排名与真实模型的排名几乎完全不相交。

关键结果

排名的唯一性： 在 Pythia 和 OLMo 模型上的实证测试表明，完整的排名对于特定模型是唯一的。即使是单步训练或轻微的权重扰动，也会使先前的可行排名变得不可行。
不可伪造性： 理论证明确立了伪造排名签名是 $\exists\mathbb{R}$ -hard 的。通过梯度下降拟合一组排名以重建新矩阵的实证尝试失败了，即使使用了 48–50 个排名也无法复现该签名。
参数泄露与签名安全性：
- 完整的排名允许近似恢复解嵌入矩阵的列空间。
- 然而，这种近似不足以伪造签名。
- “甜点区（Sweet Spot）”： 作者确定了一个 $k$ $k$ 的范围（例如，对于 Pythia 70M， $k \approx 370$ $k \approx 370$ ），在该范围内：
  - Top- $k$ 排名对模型是唯一的（保留了签名）。
  - 信息过于粗糙，无法重建解嵌入矩阵（防止了参数窃取）。
- 具体而言，设置 $k = d$ （隐藏层维度）通常足以区分模型，同时使恢复的参数与在不同数据上训练的基准模型相比，其相似度较低。

意义与主张

该论文声称引入了第一个不需要访问 Token 概率的多项式不可伪造语言模型签名。

安全性提升： 与依赖于 logits（会导致参数泄露）且可在多项式时间内被伪造的先前几何签名不同，排名签名仅需排名，在计算上难以伪造，并且允许提供商在不泄露模型权重的情况下展示签名。
取证应用： 该签名实现了模型取证。如果一个仓库声称包含泄露的权重，可以通过检查其 API 的 Token 排名是否为泄露权重的可行排名来验证它们。如果排名不可行，则权重是伪造的；如果排名可行，则泄露者很可能拥有真实的权重（由于签名的唯一性和不可伪造性）。
实际权衡： 论文得出结论，API 提供商可以安全地暴露 Top- $k$ 排名以提供可验证的签名，同时减轻参数窃取的风险，前提是 $k$ 被选择在确定的“安全”范围内（足够大以保证唯一性，足够小以防止重建）。

作者对该签名的密码学安全性保持谦逊，指出虽然 $\exists\mathbb{R}$ -hardness 是一个强大的理论屏障，但这些问题的平均情况复杂度（average-case hardness）尚未得到充分理解，且该签名尚未被证明在传统密码学意义上是安全的。