Forscher von Meta Platforms haben eine Technik vorgestellt, die große Sprachmodelle identifizieren kann, die auf den Ausgaben eines mit Wasserzeichen versehenen „Teacher“-Modells trainiert wurden – wie sie berichten, deutlich zuverlässiger als bestehende Token-Zählverfahren. Der Ansatz namens WM-Basin richtet sich gegen Modelldestillation über APIs, eine Praxis, die die Hürde für die Replikation proprietärer KI-Systeme gesenkt hat.

Das Kopieren eines großen Sprachmodells erforderte einst den Diebstahl seiner Gewichte. Heute lässt es sich.arguably dadurch bewerkstelligen, dass man ein Modell umfangreich abfragt und ein kleineres „Student“-Modell auf den Antworten trainiert. Destillation ist an sich nicht per se unzulässig – KI-Entwickler nutzen sie routinemäßig, um aus großen Modellen kleinere und günstigere zu erstellen –, was genau dazu führt, dass sich unbefugte Kopien nur schwer von üblicher Praxis unterscheiden lassen. Forscher von Metas FAIR und Superintelligence Labs sagen, sie hätten einen besseren Weg, das zu erkennen. In Tests übertraf ihre Black-Box-Technik den bisherigen State-of-the-Art-Token-Level-Detektor bei weitem.

Was die Studie ergab

Die Studie mit dem Titel „Watermark Basins: Black-Box Detection of Distilled LLMs“ wurde am 27. Oktober 2026 unter arXiv:2610.37266 veröffentlicht. Sie konzentriert sich auf ein bestimmtes Szenario: Jemand fragt ein Modell mit Wasserzeichen über eine API ab, sammelt die Ausgaben und trainiert darauf ein Student-Modell. Wasserzeichen bedeuten in diesem Kontext, dass statistische Muster, die an einen geheimen Schlüssel gebunden sind, in den Text eines Modells eingebettet werden – für gewöhnliche Leser unsichtbar, aber mit der richtigen Nachweismethode rekonstruierbar.

Das zentrale Ergebnis ist eine True-Positive-Rate von 79 % bei einer False-Positive-Rate von nur 0,1 %, mit n-gram=1. Der bisher beste Black-Box-Token-Level-Detektor erreichte unter denselben Bedingungen eine True-Positive-Rate von nur 29 %. Laut den Autoren vergrößert sich der Abstand zwischen den beiden Methoden bei strengeren Erkennungsschwellen und größeren n-gram-Fenstern weiter.

Die Evaluation war erheblich im Umfang. Das Team testete 1.200 Student-Modelle zwischen 135 Millionen und 8,2 Milliarden Parametern, die auf mathematischen Reasoning-Traces aus OpenR1-Math trainiert wurden. Die Experimente umfassten sechs Architekturfamilien, mehrere Teacher-Modelle und verschiedene Wasserzeichen-Schemata.

Wie WM-Basin funktioniert

WM-Basin speist den von einem Verdächtigen Modell erzeugten Text in ein festes, sauberes Probe-Modell ein und wandelt diesen Text in Gradientendarstellungen um. Vereinfacht gesagt fragt es, wie der Text die Parameter des Probe-Modells verschieben würde, wenn dieses darauf trainiert würde.

Dvon trennt die Methode gewöhnliche Fine-Tuning-Richtungen von der Ausrichtung an dem, was die Autoren ein key-spezifisches „Watermark Basin“ im Parameterraum nennen. Ein Wasserzeichen hinterlässt eine richtungsbezogene Signatur, und WM-Basin sucht nach dieser Richtung statt nach einzelnen verräterischen Wörtern.

Ein entscheidendes praktisches Detail: Das Werkzeug benötigt lediglich Textausgaben des Verdächtigen Modells, obtained über die API. Es requires keinen Zugriff auf die Gewichte oder Logits des Modells.

Wo das Signal hält – und wo es bricht

Die Forscher berichten, dass das Erkennungssignal mehrere gängige Modifikationen nach der Destillation übersteht. Dazu gehören Quantisierung, die ein Modell für günstigeren Betrieb komprimiert; Pruning, das Parameter entfernt; und Reinforcement Learning. WM-Basin erwies sich auch in Situationen als zuverlässiger, in denen Token-Level-Signale verblassen, etwa bei Low-Temperature-Sampling.

Die Studie ist jedoch offen bezüglich ihrer Grenzen. Umfangreiches Fine-Tuning mit sauberen Daten kann das Signal abschwächen. Die Autoren benennen fortgesetztes supervisiertes Fine-Tuning mit nicht mit Wasserzeichen versehenen Daten sowie das Paraphrasieren der Teacher-Traces als potenzielle Umgehungsvektoren.

Was das für KI-Entwickler bedeutet

Für alle, die Durchsetzungsmaßnahmen erwägen, ist die False-Positive-Rate von 0,1 % arguably die wichtigere Zahl. Jeder rechtliche oder vertragliche Anspruch auf Basis von Wasserzeichen-Beweisen würde auf falsche Verdächtigungen hin geprüft werden. Eine Methode, die eine niedrige Fehlalarmrate hält und gleichzeitig 79 % der Kopien erkennt, ist weitaus vertretbarer als eine, die nur 29 % erkennt.

Die Durchsetzungslandschaft ist zudem weitgehend vertraglich statt technisch geprägt: Große Modell-API-Anbieter schließen in ihren Nutzungsbedingungen in der Regel aus, dass Ausgaben zum Training konkurrierender Modelle verwendet werden dürfen. Das praktische Gewicht eines Streits ruht daher genau auf dieser Art von Erkennungsbeweisen.

Offene Fragen bleiben. Die Evaluation konzentrierte sich auf mathematische Reasoning-Traces, sodass die Leistung bei anderen Inhaltsarten anhand der vorgelegten Daten ungeklärt ist. Kopisten in der Praxis könnten zudem mehrere Umgehungstaktiken gleichzeitig kombinieren, einschließlich des Paraphrasierens und des Fine-Tunings mit sauberen Daten, das die Autoren selbst identifiziert haben.

Quelle: Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30. Oktober 2026. Originalartikel redaktionell bearbeitet von Diego Almada Lopez.