Meta Platforms的研究人员公布了一项技术，能够识别通过带水印的"教师"模型输出训练而成的大型语言模型——据其报告，其可靠性远超现有的token计数方法。该方法名为WM-Basin，针对通过API进行模型蒸馏的行为，这种做法降低了复制专有AI系统的门槛。

复制大型语言模型曾经需要窃取其权重。如今，理论上只需大量查询某个模型，并用其回答训练一个较小的"学生"模型即可。蒸馏本身并非天然违法——AI开发者通常用它在更大模型的基础上构建更小、更廉价的模型——这正是区分未经授权的副本与正常做法的难点所在。Meta旗下FAIR与超级智能实验室的研究人员表示，他们找到了更好的追查方法。在测试中，其黑盒技术大幅超越了此前最先进的token级检测器。

论文的核心发现

这项题为《Watermark Basins: Black-Box Detection of Distilled LLMs》的研究于2026年10月27日以arXiv:2610.37266发布。它聚焦一个特定场景：有人通过API查询带水印的模型，收集其输出，并据此训练学生模型。在此背景下，水印意味着在模型文本中嵌入与密钥绑定的统计模式——普通读者无法察觉，但可通过正确的检测方法恢复。

其核心结果是：在n-gram=1的设置下，误报率仅为0.1%时实现了79%的真正率。此前最佳的黑盒token级检测器在相同条件下真正率仅为29%。据作者所述，在更严格的检测阈值和更大的n-gram窗口下，两种方法的差距还会进一步扩大。

这次评估规模可观。团队测试了1,200个学生模型，参数量从1.35亿到82亿不等，这些模型基于OpenR1-Math的数学推理轨迹训练。实验涵盖六类学生模型架构、多个教师模型以及多种水印方案。

WM-Basin的工作原理

WM-Basin将可疑模型生成的文本输入一个固定、干净的探测模型，并将该文本转换为梯度表示。简言之，它探究的是：如果探测模型在这段文本上训练，文本会将其参数推向何种方向。

在此基础上，该方法将普通的微调方向与作者所称的参数空间中与密钥绑定的"水印盆地"的对齐情况区分开来。水印会留下方向性特征，WM-Basin寻找的是这一方向，而非个别特征性词语。

一个关键的实用细节：该工具只需通过API获取可疑模型的文本输出，无需访问模型权重或logits。

信号的适用范围与失效场景

研究人员报告称，该检测信号能在多种常见的蒸馏后修改中保留，包括压缩模型以降低运行成本的量化、剪除参数的剪枝，以及强化学习。WM-Basin在token级信号减弱的场景下也表现出更高的可靠性，例如低温采样时。

不过，论文坦承其局限。在干净数据上进行大量微调可能削弱该信号。作者将在未加水印数据上的持续监督微调以及改写教师模型的输出轨迹列为潜在的规避手段。

对AI开发者意味着什么

对于考虑采取执行行动的一方而言，0.1%的误报率可以说是更关键的数字。任何基于水印证据的法律或合同主张都将面临关于错误指控的严格审视。一种在捕捉79%副本的同时保持低误报率的方法，比只捕捉29%的方法在辩护上更有说服力。

执行层面也主要依赖合同而非技术手段：主要模型API提供商通常在服务条款中禁止利用其输出训练竞争模型，因此此类纠纷的实际分量往往正取决于这类检测证据。

仍存在未解问题。评估以数学推理轨迹为核心，因此根据所呈现的数据，其在其他类型内容上的表现尚无定论。现实中的复制者还可能同时组合多种规避手段，包括作者自己指出的改写和干净数据微调。

来源：Meta paper shows watermarks can expose distilled AI models — CryptoBriefing，2026年10月30日。原文由Diego Almada Lopez编辑。