IJCAI 2026综述提出大模型“隐式身份”统一框架：用指纹和水印应对模型盗用

事件概述

大模型的训练成本高昂（GPT-4 训练成本达亿美元量级），却面临恶意蒸馏、套壳和数据窃取的严重风险。Anthropic 近期公开披露了针对 Claude 的大规模疑似恶意蒸馏事件：攻击者利用欺诈账户和代理服务收集模型输出，试图低成本复制模型能力。仅靠账户封禁、访问控制等外部防御已不足够，亟需建立从数据集到模型再到生成内容的身份认证机制。

隐式身份框架与术语澄清

来自西安交通大学、中国科学院信息工程研究所和澳大利亚迪肯大学的研究团队，在 IJCAI 2026 发表综述论文《Implicit Identity Technologies for LLMs: Fingerprinting and Watermarking across Datasets, Models, and Generated Content》，首次提出大语言模型“隐式身份（Implicit-ID）”统一理论框架。该框架彻底厘清行业中长期混淆的“水印”与“指纹”技术：

• 指纹技术（Fingerprinting）：非侵入式，从资产固有特征中“提取身份”，通过相似性归因实现验证。
• 水印技术（Watermarking）：侵入式，在资产中主动“植入身份”，通过密钥进行身份验证。

两者均可在数据集、模型和生成内容三个层面实现资产保护与来源追溯。

跨生命周期的分类体系

论文提出了“生命周期维度 × 身份验证维度”的二维分类体系，将现有技术分为：

• 数据集层面：侧重于统计指纹（基于损失、困惑度等记忆信号）和特定响应指纹，用于事后数据使用审计和所有权验证。
• 模型层面：技术最丰富，包括参数空间指纹、表示空间指纹、行为指纹以及模型水印（通过微调、模型编辑等方式嵌入身份信号）。
• 生成内容层面：包括统计指纹、自然指纹、统计水印（如红绿列表）和带密钥采样水印（如零失真水印），可直接对输出文本溯源。

该分类揭示了不同资产层面之间的共享验证逻辑，便于方法、攻击模型和评估条件的迁移复用。

评估框架：四大核心目标

为使身份技术落地工业界，论文提出了包含四个核心目标的评估框架：

1. 身份声明正确性：衡量真阳性率（TPR）和假阳性率（FPR），建议固定 FPR 下报告 TPR，或使用 ROC/PR 曲线。多源归因关注 Top-k 准确率和置信度校准。
2. 良性变换鲁棒性：评估身份信号在模型微调、量化、剪枝、蒸馏、合并以及文本改写、翻译等正常变换后是否仍然有效，提出良性鲁棒性覆盖率。
3. 对抗操纵鲁棒性：评估身份技术面对移除、规避、伪造、冒充攻击时的安全性，明确攻击者知识、权限和能力，以对抗鲁棒性覆盖率衡量。
4. 效用与部署成本：水印需评估性能下降和文本质量损失；指纹虽不影响效用但可能需高查询/计算开销。部署成本包括身份建立和验证两个环节。

挑战与未来方向

当前身份技术仍面临三大痛点：

• 安全性与模型效用的“跷跷板”：强力水印可能影响模型能力。
• 对模型演化（迭代微调、更新）和自适应攻击的鲁棒性不足，身份信号易“漂移”失效。
• 验证过程常需高权限或高算力，缺乏低成本、标准化的评测基准。

未来研究方向包括：语义保真更高的身份机制、对模型演化和内容变换更鲁棒的信号、高效可审计的验证方法，以及覆盖全生命周期的统一评测基准。