I ricercatori di Meta Platforms hanno presentato una tecnica in grado di identificare i modelli linguistici di grandi dimensioni addestrati sugli output di un modello "docente" con watermark — con un'affidabilità, dichiarano, molto superiore rispetto ai metodi esistenti basati sul conteggio dei token. L'approccio, chiamato WM-Basin, prende di mira la distillazione dei modelli tramite API, una pratica che ha abbassato la soglia per replicare sistemi AI proprietari.

Copiare un modello linguistico di grandi dimensioni un tempo richiedeva il furto dei suoi pesi. Oggi, si può fare, in un certo senso, interrogando estensivamente un modello e addestrando un modello "studente" più piccolo sulle risposte. La distillazione in sé non è intrinsecamente illecita — gli sviluppatori AI la usano abitualmente per costruire modelli più piccoli ed economici partendo da modelli più grandi — ed è proprio questo che rende difficile distinguere le copie non autorizzate dalla prassi ordinaria. I ricercatori dei lab FAIR e Superintelligence di Meta sostengono di avere un metodo migliore per intercettare questo fenomeno. Nei test, la loro tecnica black-box ha superato con ampio margine il precedente rilevatore a livello di token, stato dell'arte in assoluto.

Cosa ha rilevato lo studio

Lo studio, intitolato “Watermark Basins: Black-Box Detection of Distilled LLMs,” è stato pubblicato il 27 ottobre 2026 con il codice arXiv:2610.37266. Si concentra su uno scenario specifico: qualcuno interroga un modello con watermark tramite un'API, raccoglie gli output e addestra su di essi un modello studente. Il watermarking, in questo contesto, significa incorporare nel testo di un modello pattern statistici legati a una chiave segreta — invisibili ai lettori ordinari, ma recuperabili con il metodo di rilevamento adeguato.

Il risultato principale è un tasso di veri positivi del 79% con un tasso di falsi positivi di appena lo 0,1%, usando n-gram=1. Il precedente miglior rilevatore black-box a livello di token aveva raggiunto un tasso di veri positivi di solo il 29% nelle stesse condizioni. Secondo gli autori, il divario tra i due metodi si allarga ulteriormente a soglie di rilevamento più rigorose e con finestre n-gram più ampie.

La valutazione è stata di scala considerevole. Il team ha testato 1.200 modelli studenti, con parametri compresi tra 135 milioni e 8,2 miliardi, addestrati su tracce di ragionamento matematico di OpenR1-Math. Gli esperimenti hanno coinvolto sei famiglie di architetture studente, docenti multipli e diversi schemi di watermarking.

Come funziona WM-Basin

WM-Basin alimenta un modello sonda fisso e pulito con il testo generato da un modello sospetto e converte quel testo in rappresentazioni a gradiente. In sintesi, verifica come il testo spingerebbe i parametri del modello sonda se quest'ultimo fosse addestrato su di esso.

Da lì, il metodo separa le direzioni ordinarie di fine-tuning dall'allineamento con quella che gli autori chiamano una "watermark basin" legata a una chiave specifica nello spazio dei parametri. Un watermark lascia una firma direzionale, e WM-Basin cerca quella direzione piuttosto che singole parole rivelatrici.

Un dettaglio pratico cruciale: lo strumento richiede solo gli output testuali del modello sospetto, ottenuti via API. Non richiede l'accesso ai pesi o ai logit del modello.

Dove il segnale regge — e dove si rompe

I ricercatori riferiscono che il segnale di rilevamento sopravvive a diverse modifiche comuni successive alla distillazione. Tra queste la quantizzazione, che comprime un modello per ridurne i costi di esecuzione; la potatura, che elimina parametri; e l'apprendimento per rinforzo. WM-Basin si è inoltre dimostrato più affidabile nelle situazioni in cui i segnali a livello di token svaniscono, come durante il campionamento a bassa temperatura.

Lo studio è tuttavia candido sui suoi limiti. Un fine-tuning estensivo su dati puliti può degradare il segnale. Gli autori segnalano il fine-tuning supervisionato prolungato su dati non watermarkati, così come la parafrasi delle tracce del docente, come potenziali vettori di elusione.

Cosa significa per gli sviluppatori AI

Per chi valuta un'azione di applicazione delle regole, il tasso di falsi positivi dello 0,1% è forse la cifra più importante. Qualunque rivendicazione legale o contrattuale fondata su prove di watermark sarebbe esaminata attentamente per evitare accuse ingiuste. Un metodo che mantiene un basso tasso di falsi allarmi intercettando il 79% delle copie è molto più difendibile di uno che ne individua il 29%.

Il panorama dell'applicazione è peraltro in gran parte contrattuale piuttosto che tecnico: i principali fornitori di API per modelli in genere includono nei termini di servizio il divieto di usare gli output per addestrare modelli concorrenti, così che il peso pratico di una controversia tende a poggiare proprio su questo tipo di prove di rilevamento.

Restano questioni aperte. La valutazione si è concentrata su tracce di ragionamento matematico, quindi le prestazioni su altri tipi di contenuti non sono risolte sulla base dei dati presentati. Chi copia nel mondo reale potrebbe inoltre combinare più tattiche di elusione contemporaneamente, inclusi la parafrasi e il fine-tuning su dati puliti individuati dagli stessi autori.

Fonte: Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30 ottobre 2026. Articolo originale a cura di Diego Almada Lopez.