GAIR Paper 111 | 谁动了我的大模型？IJCAI 2026最新综述揭秘大模型“隐式身份”防伪战
你是否有过这样的疑惑：这篇爆火的 AI 爽文，到底是谁生成的？这组训练有素的数据集，是不是被未经授权地使用了？而眼前这个“聪明”的模型，究竟是原产正品，还是被恶意克隆的“套壳”货？
在算力即金钱的今天，花费上亿美元、集结顶尖资源训练出的大语言模型（LLM），正面临前所未有的安全挑战。就在 2026 年，Anthropic 公开披露了一起针对 Claude 的大规模疑似恶意蒸馏事件——攻击者利用欺诈账户和代理服务疯狂收集模型输出，试图低成本复制大模型的核心能力。
残酷的现实证明：面对隐蔽的“白嫖”与盗用，仅靠账户封禁、访问控制等外部防御手段，已经防不胜防。建立一套严密的大模型“身份认证”机制，已成行业共识。
近日，来自西安交通大学、中国科学院信息工程研究所和澳大利亚迪肯大学的研究团队，在人工智能顶会 IJCAI 2026 上发表了一篇题为《Implicit Identity Technologies for LLMs: Fingerprinting and Watermarking across Datasets, Models, and Generated Content》的重磅综述。该研究首次提出了大模型“隐式身份（Implicit-ID）”统一理论框架，彻底厘清了行业内长期混淆的“水印”与“指纹”技术，为构建可信、安全、可追溯的大模型生态提供了全景式指南。
为什么大模型需要一张“隐形身份证”？
大语言模型的研发是一场烧钱的游戏。据估算，像 GPT-4 这样顶级模型的训练成本高达亿美元量级。随着模型能力的提升和应用范围的扩大，安全问题也日益凸显：模型参数泄露、未经授权使用、训练数据违规利用，以及生成内容来源难以识别等问题层出不穷。
虽然 Anthropic 等公司一直在努力通过外部手段保护模型资产，但模型蒸馏和恶意套壳的风险依然如影随形。我们需要一种能够深入模型“基因”的身份机制，来回答三个终极问题：
- 数据集是否遭到了未经授权的使用？
- 模型来自何处？是否经过了非法复制或微调？
- 眼前的这段内容，是否由特定模型生成？
这就引出了本文的核心概念：指纹识别（Fingerprinting）与水印技术（Watermarking）。然而，长期以来，这两个概念在学术界和工业界常常被混用，且相关研究分散在数据集、模型和生成内容等不同领域，缺乏一个统一的视角。
核心创新：“隐式身份”框架打破术语混淆
针对上述痛点，研究团队提出了“隐式身份（Implicit-ID）”这一统一框架。顾名思义，大模型的身份信号不应是显而易见的，而应隐藏在参数、内部表示、行为响应或生成内容的统计规律中。只有借助特定的算法、测试样本或密钥，才能验证其身份。
论文构建了一个由“顶层概念-中层实现-底层机制”组成的三层架构：
- 顶层：隐式身份（Implicit Identity）。 这是一个统一的抽象概念，将原本分散的指纹和水印技术纳入同一理论框架，让我们能从“身份如何产生、证据从何而来、声明如何验证”这三个基本维度去审视所有技术。
- 中层：两种实现形式。
- 指纹技术（Fingerprinting）： 属于非侵入式。它不修改原始资产，而是从数据集、模型或生成内容自身固有的特征（如参数分布、输入-输出行为模式）中“提取”身份信号，通过相似性比较来归因。
- 水印技术（Watermarking）： 属于侵入式。它通过外部干预，将预先设计好的、可验证的身份信号主动“植入”到资产中，验证时通常依赖特定的密钥。
- 底层：设计空间。 根据证据来源（数据记忆、模型参数、梯度、行为响应、文本统计特征等）和验证路径（基于相似性的归因 vs 基于密钥的验证），形成了一个紧凑的技术分类体系。
跨生命周期的“二维”分类体系
为了更清晰地梳理现有技术，论文提出了一套横跨大模型全生命周期的分类法。你可以把它想象成一个二维坐标系：
- 横轴（生命周期）： 分为数据集、模型和生成内容三个阶段。
- 纵轴（验证语义）： 分为基于相似性的归因（指纹）和基于密钥的验证（水印）。
在这个体系下，不同层面的技术要点各有侧重：
- 数据集层面： 重点在于审计。通过统计指纹（如基于损失、困惑度的记忆信号）或特定响应指纹，验证数据是否被违规使用。
- 模型层面： 技术最为丰富。既包括利用参数空间、表示空间和行为特征的指纹识别，也包括通过微调、模型编辑等方式嵌入身份信号的模型水印。
- 生成内容层面： 直接面向用户输出。包括统计指纹、自然指纹，以及经典的红绿列表统计水印和零失真带密钥采样水印，用于对输出文本进行直接溯源。
怎么评判一家“防伪技术”好不好？
再好的技术，如果无法落地也是空谈。为此，论文建立了一套包含四个核心维度的评估框架，为隐式身份技术做“体检”：
- 身份声明正确性： 也就是“认得准不准”。主要通过真阳性率（TPR）和假阳性率（FPR）来衡量，建议报告固定 FPR 下的 TPR，或使用 ROC 曲线进行评估。
- 良性变换鲁棒性： 也就是“抗造不耐造”。当模型经过微调、量化、剪枝，或者文本经过改写、翻译时，身份信号还能不能被检测到？论文提出了“良性鲁棒性覆盖率”这一指标。
- 对抗操纵鲁棒性： 也就是“防得住黑客”。面对恶意的移除、规避、伪造和冒充攻击，技术是否依然安全？这需要明确攻击者的能力和权限。
- 效用与部署成本： 也就是“贵不贵、好不好用”。水印会不会降低模型性能或文本质量？指纹识别是否需要消耗过多的查询次数和算力？低成本且标准化的评测基准至关重要。
挑战与未来：进入安防“深水区”
尽管前景广阔，但该综述也冷静地指出了当前行业面临的三大痛点：
- 安全与效用的“跷跷板”： 如何在打上强力水印的同时，不牺牲模型的“智商”和文本的自然度？
- 生命周期漂移： 面对模型的迭代演化和自适应攻击，身份信号极易发生“漂移”甚至失效。
- 部署门槛高： 许多方法依赖白盒权限或高昂的算力开销，缺乏低成本的标准化评测基准。
未来，研发语义保真度更高、对模型演化更加鲁棒的身份信号，以及构建覆盖全生命周期的评测基准，将是下一个黄金研究方向。
结语
随着大语言模型渗透进千行百业，如何实现模型、数据和生成内容的身份认证，已成为可信人工智能不可或缺的基础设施。这篇 IJCAI 2026 的重磅综述，不仅梳理了隐式身份技术的发展脉络，更为我们描绘了一个安全、可信、可追溯的 AI 未来蓝图。
如果你想深入了解这一快速发展的研究方向，可以查阅论文完整版预印本：https://arxiv.org/abs/2605.29245