Badacze Meta Platforms zaprezentowali technikę pozwalającą identyfikować duże modele językowe wytrenowane na wynikach znakowanego wodą modelu „nauczyciela” — znacznie niezawodniej, jak relacjonują, niż dotychczasowe metody oparte na liczeniu tokenów. Podejście, nazwane WM-Basin, celuje w destylację modeli przez API — praktykę, która obniżyła próg kopiowania własnościowych systemów AI.

Skopiowanie dużego modelu językowego kiedyś wymagało kradzieży jego wag. Obecnie można to — argumentowalnie — osiągnąć, zadając modelowi wiele pytań i trenując na odpowiedziach mniejszy model „uczeń”. Destylacja sama w sobie nie jest niedozwolona — twórcy AI regularnie używają jej do budowy mniejszych, tańszych modeli z większych — i właśnie dlatego tak trudno odróżnić nieuprawnione kopie od zwykłej praktyki. Badacze z Meta FAIR i Superintelligence Labs twierdzą, że mają lepszy sposób, by to wykryć. W testach ich czarnoskrzynkowa technika znacząco przewyższyła dotychczasowy najlepszy detektor na poziomie tokenów.

Co wykazała praca

Badanie zatytułowane „Watermark Basins: Black-Box Detection of Distilled LLMs” zostało opublikowane 27 października 2026 roku pod numerem arXiv:2610.37266. Koncentruje się na konkretnym scenariuszu: ktoś odpytuje znakowany wodą model przez API, zbiera wyniki i trenuje na nich model ucznia. Znakowanie wodne oznacza w tym kontekście osadzanie w tekście modelu wzorców statystycznych powiązanych z tajnym kluczem — niewidocznych dla zwykłego czytelnika, lecz odzyskiwalnych przy użyciu właściwej metody detekcji.

Najważniejszym wynikiem jest 79% wskaźnik prawdziwie pozytywnych wyników przy wskaźniku fałszywie pozytywnych zaledwie 0,1%, przy użyciu n-gram=1. Dotychczasowy najlepszy czarnoskrzynkowy detektor na poziomie tokenów osiągał w tych samych warunkach wskaźnik prawdziwie pozytywnych wyników wynoszący jedynie 29%. Według autorów rozbieżność między obiema metodami rośnie dalej przy surowszych progach detekcji i większych oknach n-gramów.

Ewaluacja miała znaczną skalę. Zespół przetestował 1200 modeli uczniów o rozmiarach od 135 mln do 8,2 mld parametrów, wytrenowanych na śladach rozumowania matematycznego z OpenR1-Math. Eksperymenty obejmowały sześć rodzin architektur studentów, wielu nauczycieli oraz kilka schematów znakowania wodnego.

Jak działa WM-Basin

WM-Basin przekazuje tekst wygenerowany przez podejrzany model do stałego, czystego modelu probe i konwertuje ten tekst na reprezentacje gradientowe. Mówiąc prosto, metoda bada, jak tekst wpłynąłby na parametry modelu probe, gdyby był on na nim trenowany.

Następnie metoda oddziela zwykłe kierunki dostrajania od zgodności z tym, co autorzy nazywają związanym z kluczem „basenem znaku wodnego” w przestrzeni parametrów. Znak wodny pozostawia kierunkową sygnaturę, a WM-Basin szuka tego kierunku, a nie pojedynczych zdradliwych słów.

Kluczowy praktyczny szczegół: narzędzie potrzebuje jedynie wyników tekstowych podejrzanego modelu, uzyskanych przez API. Nie wymaga dostępu do wag ani logitów modelu.

Gdzie sygnał się utrzymuje — a gdzie załamuje

Badacze relacjonują, że sygnał detekcji przetrwa kilka powszechnych modyfikacji przeprowadzanych po destylacji. Obejmują one kwantyzację, która kompresuje model, by działał taniej; przycinanie, które usuwa parametry; oraz uczenie ze wzmocnieniem. WM-Basin okazał się także bardziej niezawodny w sytuacjach, gdy sygnały na poziomie tokenów słabną, np. podczas próbkowania z niską temperaturą.

Praca otwarcie przyznaje się jednak do ograniczeń. Rozległe dostrajanie na czystych danych może osłabić sygnał. Autorzy wskazują ciągłe dostrajanie nadzorowane na danych bez znaku wodnego oraz parafrazowanie śladów nauczyciela jako potencjalne wektory ominięcia detekcji.

Co to oznacza dla twórców AI

Dla każdego rozważającego działania egzekucyjne ważniejszą liczbą jest argumentowalnie wskaźnik fałszywie pozytywnych wyników 0,1%. Każde roszczenie prawne lub umowne oparte na dowodzie z znaku wodnego podlegałoby analizie pod kątem bezpodstawnych oskarżeń. Metoda, która utrzymuje niski wskaźnik fałszywych alarmów, wykrywając jednocześnie 79% kopii, jest znacznie bardziej obronna niż taka, która wykrywa 29%.

Krajobraz egzekwowania ma przy tym charakter głównie umowny, a nie techniczny: główni dostawcy API modeli zapisują w regulaminach usług zazwyczaj zakaz używania wyników do trenowania konkurencyjnych modeli, więc praktyczna waga sporu spoczywa właśnie na tego rodzaju dowodzie detekcyjnym.

Pozostają pytania otwarte. Ewaluacja koncentrowała się na śladach rozumowania matematycznego, więc skuteczność na innych rodzajach treści pozostaje nierozstrzygnięta na podstawie przedstawionych danych. Kopiujący w realnym świecie mogą też łączyć kilka taktyk ominięcia jednocześnie, w tym parafrazowanie i dostrajanie na czystych danych wskazane samych przez autorów.

Źródło: Meta paper shows watermarks can expose distilled AI models — CryptoBriefing, 30 października 2026. Oryginalny artykuł zredagował Diego Almada Lopez.