Les chercheurs de Meta Platforms ont dévoilé une technique capable d'identifier les grands modèles de langage entraînés sur les sorties d'un modèle « enseignant » filigrané — avec, selon eux, une fiabilité bien supérieure à celle des méthodes existantes de comptage de tokens. L'approche, baptisée WM-Basin, cible la distillation de modèles via les API, une pratique qui a abaissé la barrière pour répliquer des systèmes d'IA propriétaires.

Copier un grand modèle de langage exigeait autrefois de voler ses poids. Désormais, cela peut se faire, en substance, en interrogeant largement un modèle et en entraînant un plus petit modèle « étudiant » sur les réponses. La distillation n'est pas intrinsèquement illicite — les développeurs d'IA l'utilisent couramment pour construire des modèles plus petits et moins coûteux à partir de modèles plus grands — et c'est précisément ce qui rend difficile la distinction entre copies non autorisées et usage ordinaire. Les chercheurs des laboratoires FAIR et Superintelligence de Meta estiment disposer d'un meilleur moyen de détecter cela. Lors des tests, leur technique black-box a surpassé de loin le précédent détecteur de référence opérant au niveau des tokens.

Ce que l'étude a réellement trouvé

L'étude, intitulée « Watermark Basins: Black-Box Detection of Distilled LLMs », a été publiée le 27 octobre 2026 sous la référence arXiv:2610.37266. Elle se concentre sur un scénario précis : une personne interroge un modèle filigrané via une API, collecte les sorties et entraîne un modèle étudiant sur celles-ci. Le filigranage, dans ce contexte, signifie l'incorporation de motifs statistiques liés à une clé secrète dans le texte d'un modèle — invisibles pour le lecteur ordinaire, mais récupérables avec la bonne méthode de détection.

Le résultat phare est un taux de vrais positifs de 79 % pour un taux de faux positifs de seulement 0,1 %, avec n-gram=1. Le meilleur détecteur black-box précédent au niveau des tokens n'atteignait qu'un taux de vrais positifs de 29 % dans les mêmes conditions. Selon les auteurs, l'écart entre les deux méthodes se creuse encore avec des seuils de détection plus stricts et des fenêtres n-gram plus larges.

L'évaluation a été d'envergure. L'équipe a testé 1 200 modèles étudiants, allant de 135 millions à 8,2 milliards de paramètres, entraînés sur des traces de raisonnement mathématique issues d'OpenR1-Math. Les expériences ont couvert six familles d'architectures étudiantes, plusieurs modèles enseignants et plusieurs schémas de filigranage.

Fonctionnement de WM-Basin

WM-Basin injecte le texte généré par un modèle suspect dans un modèle sonde propre et fixe, et convertit ce texte en représentations de gradient. En termes simples, la méthode évalue comment le texte ferait évoluer les paramètres du modèle sonde si celui-ci était entraîné dessus.

À partir de là, la méthode sépare les directions ordinaires de fine-tuning de l'alignement avec ce que les auteurs appellent un « bassin de filigrane » spécifique à une clé, dans l'espace des paramètres. Un filigrane laisse une signature directionnelle, et WM-Basin recherche cette direction plutôt que des mots individuels trahissant le filigrane.

Détail pratique crucial : l'outil n'a besoin que des sorties textuelles du modèle suspect, obtenues via API. Il ne requiert aucun accès aux poids ni aux logits du modèle.

Là où le signal tient — et là où il cède

Les chercheurs indiquent que le signal de détection survit à plusieurs modifications courantes après distillation. Cela inclut la quantization, qui compresse un modèle pour réduire ses coûts d'exécution ; l'élagage (pruning), qui supprime des paramètres ; et l'apprentissage par renforcement. WM-Basin s'est également révélé plus fiable dans les situations où les signaux au niveau des tokens s'estompent, comme lors d'un échantillonnage à basse température.

L'article se montre toutefois lucide sur ses limites. Un fine-tuning extensif sur des données propres peut dégrader le signal. Les auteurs signalent le fine-tuning supervisé continu sur des données non filigranées, ainsi que la paraphrase des traces de l'enseignant, comme vecteurs d'évasion potentiels.

Ce que cela signifie pour les développeurs d'IA

Pour quiconque envisage une action coercitive, le taux de faux positifs de 0,1 % est sans doute le chiffre le plus important. Toute revendication légale ou contractuelle fondée sur des preuves de filigrane serait examinée à l'aune des accusations erronées possibles. Une méthode qui maintient un faible taux de fausses alertes tout en détectant 79 % des copies est bien plus défendable qu'une méthode limitée à 29 %.

Le paysage de l'application des règles est d'ailleurs largement contractuel plutôt que technique : les grands fournisseurs d'API de modèles stipulent généralement dans leurs conditions d'utilisation l'interdiction d'utiliser les sorties pour entraîner des modèles concurrents, si bien que le poids pratique d'un litige repose précisément sur ce type de preuve de détection.

Des questions restent ouvertes. L'évaluation s'est concentrée sur des traces de raisonnement mathématique ; les performances sur d'autres types de contenu restent donc indéterminées au vu des données présentées. Les copieurs réels peuvent également combiner plusieurs tactiques d'évasion, notamment la paraphrase et le fine-tuning sur données propres identifiés par les auteurs eux-mêmes.

Source : Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30 octobre 2026. Article original édité par Diego Almada Lopez.