Onderzoekers van Meta Platforms hebben een techniek onthuld die grote taalmodellen kan identificeren die zijn getraind op de outputs van een gemarkeerd "teacher"-model — naar eigen zeggen aanzienlijk betrouwbaarder dan bestaande token-telmethode. De aanpak, WM-Basin genaamd, richt zich op model­distillatie via API's, een praktijk die de drempel voor het repliceren van propriëtaire AI-systemen heeft verlaagd.

Het kopiëren van een groot taalmodel vereiste ooit het stelen van de weights. Nu kan het, aldus sommigen, door een model uitgebreid te bevragen en een kleiner "student"-model op de antwoorden te trainen. Distillatie is op zich niet per definitie illegaal — AI-ontwikkelaars gebruiken het regelmatig om van grotere modellen kleinere, goedkopere modellen te bouwen — en juist dat maakt het moeilijk om ongeautoriseerde kopieën te onderscheiden van gewoonlijke praktijk. Onderzoekers van Meta's FAIR en Superintelligence Labs zeggen een betere manier te hebben om dat op te sporen. In tests overtrof hun black-boxtechniek de vorige state-of-the-art token-level detector met ruime marge.

Wat het onderzoek aantoonde

De studie, getiteld "Watermark Basins: Black-Box Detection of Distilled LLMs," werd op 27 oktober 2026 gepubliceerd onder arXiv:2610.37266. Deze richt zich op een specifiek scenario: iemand bevraagt een gemarkeerd model via een API, verzamelt de outputs en traint er een studentmodel op. Watermarking betekent in deze context het inbedden van statistische patronen gekoppeld aan een geheime sleutel in de tekst van een model — onzichtbaar voor gewone lezers, maar herstelbaar met de juiste detectiemethode.

De belangrijkste uitkomst is een true-positive rate van 79% bij een false-positive rate van slechts 0,1%, met n-gram=1. De vorige beste black-box token-level detector behaalde onder dezelfde omstandigheden een true-positive rate van slechts 29%. Volgens de auteurs wordt het verschil tussen de twee methoden nog groter bij strengere detectiedrempels en grotere n-gram-vensters.

De evaluatie was aanzienlijk van omvang. Het team testte 1.200 studentmodellen, variërend van 135 miljoen tot 8,2 miljard parameters, die waren getraind op wiskundige redeneertraces van OpenR1-Math. De experimenten omvatten zes families van studentarchitecturen, meerdere teachers en verschillende watermarking-schema's.

Hoe WM-Basin werkt

WM-Basin voert tekst die door een verdacht model is gegenereerd in een vast, schoon probe-model en zet die tekst om in gradientrepresentaties. In essentie vraagt het zich af hoe de tekst de parameters van het probe-model zou verschuiven als het probe erop zou worden getraind.

Vervolgens scheidt de methode gewone fine-tuningrichtingen van uitlijning met wat de auteurs een sleutelspecifiek "watermark basin" noemen in de parameterruimte. Een watermark laat een directionele signatuur achter, en WM-Basin zoekt naar die richting in plaats van naar individuele aanwijzende woorden.

Een cruciaal praktisch detail: de tool heeft alleen tekstoutputs van het verdachte model nodig, verkregen via een API. Toegang tot de weights of logits van het model is niet vereist.

Waar het signaat standhoudt — en waar het afbreekt

De onderzoekers melden dat het detectiesignaal verschillende gebruikelijke aanpassingen na distillatie overleeft. Denk aan kwantisatie, die een model comprimeert om goedkoper te draaien; pruning, die parameters verwijdert; en reinforcement learning. WM-Basin bleek ook betrouwbaarder in situaties waarin token-level signalen vervagen, zoals bij low-temperature sampling.

Het onderzoek is wel open over zijn beperkingen. Uitgebreide fine-tuning op schone data kan het signaal verzwakken. De auteurs wijzen op voortgezette supervised fine-tuning op niet-gemarkeerde data en het parafraseren van de traces van de teacher als mogelijke omzeilroutes.

Wat het betekent voor AI-ontwikkelaars

Voor wie handhaving overweegt, is de false-positive rate van 0,1% wellicht de belangrijkste naam. Elke juridische of contractuele claim op basis van watermarkevidens zal worden getoetst op vals beschuldigingen. Een methode die een laag vals-alarmpercentage aanhoudt terwijl ze 79% van de kopieën vangt, is veel beter verdedigbaar dan één die 29% vangt.

Het handhavingslandschap is bovendien grotendeels contractueel in plaats van technisch: grote model-API-aanbieders nemen doorgaans servicevoorwaarden op die verbieden om outputs te gebruiken voor het trainen van concurrerende modellen, zodat het praktische gewicht van een geschil vaak precies op dit soort detectie-evidens rust.

Er blijven open vragen. De evaluatie was gericht op wiskundige redeneertraces, dus prestaties op andere soorten inhoud zijn op basis van de gepresenteerde data onopgelost. Kopieerders in de praktijk kunnen ook meerdere omzeiltactieken tegelijk combineren, waaronder het parafraseren en de fine-tuning op schone data die de auteurs zelf al aanwezen.

Bron: Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30 oktober 2026. Origineel artikel bewerkt door Diego Almada Lopez.