Marcas de agua y huellas de modelos

Hay dos formas de reconocer un modelo. La huella criptográfica del archivo de pesos identifica una copia exacta: si alguien se llevó el archivo tal cual, su huella coincide con la registrada. Pero no sirve para una imitación entrenada con respuestas de la API, porque sus pesos son otros. Para eso se usan huellas de comportamiento: entradas preparadas en secreto, llamadas aquí centinelas, para las que el modelo propio da una respuesta arbitraria que otro modelo no tendría por qué dar.

Las centinelas se plantan antes del incidente, durante el ajuste, y su lista se guarda como cualquier otro secreto. Si una imitación las reproduce, es probable que haya aprendido de las respuestas del original.

El resultado de las centinelas solo dice algo comparado: con el modelo propio, que debe acertarlas todas, y con modelos independientes, que no deberían acertar casi ninguna. Sin esas referencias no hay forma de saber si una coincidencia es casualidad.

Para el informe no basta con la cifra del sospechoso: hay que compararla con la referencia independiente que más centinelas acertó, que es el peor caso de casualidad que tiene a mano el perito.

Una marca de agua estadística en texto generado funciona inclinando levemente, con una clave secreta, la elección de palabras; un detector con la misma clave mide esa inclinación. Tiene límites claros: necesita textos de cierta longitud, se debilita cuando alguien reescribe el texto con otras palabras y solo detecta lo que generó el modelo que la aplica. Que una muestra no la tenga no prueba que no venga de ese modelo.

Lee la tabla de la marca de agua y su nota.

Un informe técnico sobre propiedad intelectual se juzga por lo que no exagera. Las centinelas son un indicio fuerte de que un modelo aprendió de otro; la cronología puede encajar sin probar quién está detrás de una cuenta; la marca de agua ausente no exculpa a nadie. La conclusión debe decir exactamente eso y dejar la decisión jurídica al área legal.