From Bits to Beliefs: Recoverable Semantic Fingerprints for Black-Box Verification of Large Language Models

📄 arXiv: 2609.24084v1 📥 PDF

作者: Jiaxin Hong, Yuxin Peng, Hongyao Yu, Hao Fang, Shuoyang Sun, Bin Chen

分类: cs.CR, cs.AI

发布日期: 2026-09-21

💡 一句话要点

提出SimPrint框架以解决大语言模型所有权验证问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 大语言模型 所有权验证 语义指纹 黑箱模型 纠错机制 鲁棒性 知识产权

📋 核心要点

  1. 现有的黑箱指纹方法依赖于秘密的查询-密钥对，容易受到模型修改的影响，导致所有权验证困难。
  2. SimPrint框架通过编码语义指纹并分布所有权证据，避免了对精确匹配的依赖，从而提高了验证的鲁棒性。
  3. 实验结果显示，SimPrint在多种修改情况下均能可靠恢复所有者签名，并在下游任务中保持良好性能。

📝 摘要（中文）

开放权重的大语言模型（LLMs）可以被复制、修改并通过黑箱API重新部署，这使得发布后的所有权验证变得困难。现有的黑箱指纹通常依赖于秘密的查询-密钥对来重现预定义的响应，因此容易受到微调、剪枝、量化、模型合并和服务时提示变化的干扰。我们提出了SimPrint，一个可恢复的语义指纹框架，用于黑箱LLM所有权验证。SimPrint通过自然二元问答探针将所有权证据分布在编码的语义指纹域中，而不是依赖孤立的精确匹配。它通过低干扰的批量更新植入仅基础偏差探针，保持原始模型行为，并通过纠错恢复机制解析可疑模型响应以恢复签名。由于验证仅使用输入-输出查询，SimPrint在模型权重或激活不可访问时仍然适用。实验表明，SimPrint在干净和修改的设置中可靠地恢复所有者签名，并在微调、剪枝、量化、模型合并和服务时扰动下保持稳健，且下游效用相当。

🔬 方法详解

问题定义：本论文旨在解决开放权重大语言模型的所有权验证问题。现有方法依赖于固定的查询-密钥对，容易受到模型微调和其他修改的干扰，导致验证失效。

核心思路：SimPrint框架的核心思路是通过编码语义指纹，将所有权证据分散在自然的二元问答探针中，而不是依赖于孤立的精确匹配。这种设计使得指纹在模型修改后仍然能够恢复。

技术框架：SimPrint的整体架构包括两个主要模块：首先是低干扰的批量更新模块，用于植入基础偏差探针；其次是纠错恢复机制，用于解析可疑模型的响应并恢复所有者签名。

关键创新：SimPrint的主要创新在于其可恢复的语义指纹设计，能够在模型权重不可访问的情况下进行所有权验证，与现有方法相比，显著提高了鲁棒性和适用性。

关键设计：在技术细节上，SimPrint采用了低干扰的批量更新策略，确保原始模型行为不受影响，并通过纠错机制有效恢复签名。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，SimPrint在三种开放权重LLMs上均能可靠恢复所有者签名。在微调、剪枝、量化和模型合并等多种修改情况下，SimPrint保持了高达95%的恢复率，并在下游任务中与基线模型性能相当，展示了其优越的鲁棒性。

🎯 应用场景

该研究的潜在应用领域包括大语言模型的版权保护、知识产权管理以及模型所有权的合法性验证。随着AI技术的普及，确保模型的所有权和使用合规性变得愈发重要，SimPrint框架为此提供了一种有效的解决方案，具有重要的实际价值和未来影响。

📄 摘要（原文）

Open-weight large language models (LLMs) can be copied, modified, and redeployed behind black-box APIs, making post-release ownership verification difficult. Existing black-box fingerprints often rely on secret query-key pairs that reproduce predefined responses, and can therefore be easily disrupted by fine-tuning, pruning, quantization, model merging, and serving-time prompt changes. We propose SimPrint, a recoverable semantic fingerprinting framework for black-box LLM ownership verification. Rather than relying on isolated exact matches, SimPrint encodes a private owner signature into a coded semantic fingerprint domain, distributing ownership evidence across natural binary question-answering probes. It implants only base-deviating probes through a low-interference batch update that preserves the original model behavior, and later recovers the signature by parsing suspect-model responses into reliable bits or erasures with an error-correcting recovery mechanism. Because verification only uses input-output queries, SimPrint remains applicable when model weights or activations are inaccessible. Experiments on three open-weight LLMs show that SimPrint reliably recovers the owner signature in both clean and modified settings, remains robust under fine-tuning, pruning, quantization, model merging, and serving-time perturbations, and maintains comparable downstream utility.