Investigadores de Meta Platforms han presentado una técnica capaz de identificar modelos de lenguaje de gran escala entrenados con los resultados de un modelo "maestro" con marca de agua — con mucha más fiabilidad, según informan, que los métodos existentes de conteo de tokens. El enfoque, llamado WM-Basin, apunta a la destilación de modelos vía APIs, una práctica que ha reducido la barrera para replicar sistemas de IA propietarios.

Copiar un modelo de lenguaje de gran escala antiguamente requería robar sus pesos. Ahora, podría lograrse consultando extensamente a un modelo y entrenando un modelo "estudiante" más pequeño con las respuestas. La destilación en sí no es inherentemente ilícita — los desarrolladores de IA la usan con frecuencia para construir modelos más pequeños y económicos a partir de otros más grandes — y esto es precisamente lo que dificulta distinguir las copias no autorizadas de la práctica habitual. Los investigadores de los laboratorios FAIR y Superintelligence Labs de Meta afirman tener una mejor manera de detectarlo. En las pruebas, su técnica de caja negra superó por amplio margen al detector previo de última generación a nivel de tokens.

Lo que encontró el artículo

El estudio, titulado "Watermark Basins: Black-Box Detection of Distilled LLMs", fue publicado el 27 de octubre de 2026 bajo arXiv:2610.37266. Se centra en un escenario específico: alguien consulta a un modelo con marca de agua a través de una API, recopila los resultados y entrena un modelo estudiante con ellos. La marca de agua, en este contexto, significa incrustar patrones estadísticos vinculados a una clave secreta en el texto de un modelo — invisibles para los lectores comunes, pero recuperables con el método de detección adecuado.

El resultado principal es una tasa de verdaderos positivos del 79% con una tasa de falsos positivos de solo 0.1%, usando n-gram=1. El mejor detector previo de caja negra a nivel de tokens logró una tasa de verdaderos positivos de apenas el 29% bajo las mismas condiciones. Según los autores, la brecha entre ambos métodos se amplía aún más con umbrales de detección más estrictos y con ventanas de n-gramas más grandes.

La evaluación fue de escala considerable. El equipo probó 1,200 modelos estudiantes, de entre 135 millones y 8,200 millones de parámetros, entrenados con trazas de razonamiento matemático de OpenR1-Math. Los experimentos abarcaron seis familias de arquitecturas estudiante, múltiples maestros y varios esquemas de marca de agua.

Cómo funciona WM-Basin

WM-Basin introduce el texto generado por un modelo sospechoso en un modelo sonda fijo y limpio, y convierte ese texto en representaciones de gradiente. En términos sencillos, pregunta cómo empujaría el texto los parámetros del modelo sonda si este fuera entrenado con él.

A partir de ahí, el método separa las direcciones ordinarias de ajuste fino de la alineación con lo que los autores denominan un "cuenca de marca de agua" específico de clave en el espacio de parámetros. Una marca de agua deja una firma direccional, y WM-Basin busca esa dirección en lugar de palabras individuales delatoras.

Un detalle práctico crucial: la herramienta solo necesita los resultados de texto del modelo sospechoso, obtenidos vía API. No requiere acceso a los pesos ni a los logits del modelo.

Dónde se mantiene la señal — y dónde se rompe

Los investigadores informan que la señal de detección sobrevive a varias modificaciones comunes posteriores a la destilación. Entre ellas se encuentran la cuantización, que comprime un modelo para que funcione a menor costo; la poda, que elimina parámetros; y el aprendizaje por refuerzo. WM-Basin también demostró ser más confiable en situaciones donde las señales a nivel de tokens se desvanecen, como durante el muestreo de baja temperatura.

El artículo es honesto sobre sus límites, sin embargo. El ajuste fino extensivo con datos limpios puede degradar la señal. Los autores señalan el ajuste fino supervisado continuo con datos sin marca de agua, así como la paráfrasis de las trazas del maestro, como posibles vectores de evasión.

Lo que significa para los desarrolladores de IA

Para quien considere una acción de aplicación de derechos, la tasa de falsos positivos del 0.1% es, posiblemente, la cifra más importante. Cualquier reclamación legal o contractual basada en evidencia de marca de agua enfrentaría escrutinio por acusaciones erróneas. Un método que mantiene una baja tasa de falsas alarmas mientras detecta el 79% de las copias es mucho más defendible que uno que detecta el 29%.

El panorama de aplicación también es en gran medida contractual y no técnico: los principales proveedores de APIs de modelos generalmente incluyen términos de servicio que prohíben usar los resultados para entrenar modelos competidores, por lo que el peso práctico de una disputa suele recaer precisamente en este tipo de evidencia de detección.

Quedan preguntas abiertas. La evaluación se centró en trazas de razonamiento matemático, por lo que el desempeño con otros tipos de contenido queda sin resolver según los datos presentados. Los copiadores del mundo real también podrían combinar varias tácticas de evasión a la vez, incluidas la paráfrasis y el ajuste fino con datos limpios que los propios autores identificaron.

Fuente: Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30 de octubre de 2026. Artículo original editado por Diego Almada Lopez.