Meta Platforms 的研究人員推出一項技術,能夠識別以帶有浮水印的「教師」模型輸出訓練而成的大型語言模型——他們表示,其可靠性遠高於現有的 token 計數方法。這項名為 WM-Basin 的技術,針對的是透過 API 進行的模型蒸餾,此做法已降低了複製專有 AI 系統的門檻。

過去複製一個大型語言模型需要竊取其權重;如今,理論上只需向模型大量提問,再用答案訓練一個較小的「學生」模型即可。蒸餾本身並非必然違法——AI 開發者經常利用它從大模型構建更小、更便宜的模型——這正是難以區分未經授權複製品與正常做法的原因。Meta FAIR 與 Superintelligence Labs 的研究人員表示,他們找到了更好的偵測方式。在測試中,這項黑盒技術大幅超越了先前最先進的 token 層級檢測器。

論文的實際發現

這項題為「Watermark Basins: Black-Box Detection of Distilled LLMs」的研究,於 2026 年 10 月 27 日以 arXiv:2610.37266 發表。它聚焦於一個特定情境:有人透過 API 向帶浮水印的模型查詢、收集其輸出,並據此訓練學生模型。在此情境下,浮水印是指在模型輸出的文字中嵌入與秘密金鑰綁定的統計模式——一般讀者無法察覺,但可透過正確的檢測方法還原。

其核心結果是:在使用 n-gram=1 的情況下,於僅 0.1% 的假陽性率下達到 79% 的真陽性率。先前最佳的黑盒 token 層級檢測器在相同條件下的真陽性率僅為 29%。據作者所述,在更嚴格的檢測閾值與更大的 n-gram 視窗下,兩種方法之間的差距還會進一步擴大。

這次評估規模可觀。研究團隊測試了 1,200 個學生模型,參數規模從 1.35 億到 82 億,均以 OpenR1-Math 的數學推理軌跡訓練而成。實驗涵蓋六個學生模型架構家族、多個教師模型,以及數種浮水印方案。

WM-Basin 的運作方式

WM-Basin 將可疑模型生成的文字輸入一個固定且乾淨的探測模型,並將該文字轉換為梯度表示。簡單來說,它衡量的是:若探測模型以這些文字進行訓練,這些文字會如何推動探測模型的參數。

接著,該方法將一般的微調方向,與作者所稱參數空間中金鑰特定的「浮水印盆地」(watermark basin) 對齊方向區分開來。浮水印會留下方向性特徵,WM-Basin 尋找的正是這個方向,而非個別可辨識的特定詞彙。

一個關鍵的實務細節:該工具僅需透過 API 取得可疑模型的文字輸出,無須存取模型的權重或 logits。

訊號何處有效——何處失效

研究人員指出,該檢測訊號能在多種常見的蒸餾後修改中存續,包括為降低運行成本而壓縮模型的量化、移除參數的剪枝,以及強化學習。在 token 層級訊號轉弱的情境下,例如低溫取樣時,WM-Basin 也被證明更為可靠。

不過,論文坦誠說明其侷限:在乾淨資料上進行大量微調可能使訊號減弱。作者並指出,在無浮水印資料上持續進行監督式微調,以及對教師模型的軌跡進行改寫,都是潛在的規避手段。

對 AI 開發者的意義

對於考慮採取執法行動的一方而言,0.1% 的假陽性率或許是更關鍵的數字。任何以浮水印證據為基礎的法律或合約主張,都會因可能出現的不當指控而受到嚴格審視。一種在維持低誤報率的同時能揪出 79% 複製品的方法,遠比只能揪出 29% 的方法更具抗辯力。

執法環境也主要是合約性質而非技術性質:主要模型 API 服務提供商通常在服務條款中禁止使用其輸出訓練競爭模型,因此爭議的實際分量往往正取決於這類檢測證據。

仍有待解決的問題。此次評估以數學推理軌跡為中心,因此根據所呈現的資料,其在其他類型內容上的表現尚無定論。現實中的複製者也可能同時結合多種規避手段,包括作者自己指出的改寫與乾淨資料微調。

來源:Meta paper shows watermarks can expose distilled AI models — CryptoBriefing,2026 年 10 月 30 日。原文由 Diego Almada Lopez 編輯。