蒸馏来的模型藏不住，水印信号留在参数盆里

某家模型厂怀疑竞争对手在用自家 API 批量产数据、喂出一个小号模型。可对方不开权重、不给 logits，你连查都没地方查。以前靠数 token 统计特征，对方只要低温采样，信号就淡得找不着。这篇论文找到了一条新路。

一、发生了什么

10 月 27 日提交的这项研究，针对的是 API 蒸馏：攻击者拿教师模型的输出训出学生模型。业内的老办法是给教师输出加水印，指望学生身上留下「放射性」痕迹，再用黑盒检测器去数 token 级统计量。问题在于蒸馏时把采样温度调低，痕迹就可能弱到检不出来。

这批作者的发现是：微调过程中，带水印的教师数据会在学生参数空间里嵌出一个特定几何结构。它由水印密钥决定，方向上和普通任务微调所在的子空间正交，而且稳定存在——论文称之为「水印盆地」。打个比方：以前是数学生嘴里的词，现在直接看学生脑子里的「笔迹习惯」，换说法换不掉。

在此基础上他们提出 WM-Basin。检测全程黑盒：拿一个固定的干净探针模型，把被测模型的输出文本转成梯度表示，投影掉常规任务方向，再看残余梯度是否与水印密钥对应的那个盆地方向对齐。被测方只需要开放 API，权重和 logits 都不用给。

实验覆盖了多个教师模型和学生架构，参数量从一亿多到八十几亿，任务都是数学推理。在千分之一的严格误报率下，n-gram 取 1 时检出七成九，取 3 时四成五；而以前的 token 级最好水平分别只有两成九和百分之一点三。信号因为是持久性的，量化、剪枝、强化学习后训练都洗不掉。

顺带补一句背景：用别人的 API 产数据再训自己的模型，在业内是心照不宣的省事路子，厂商也早就在琢磨取证手段，水印这个词被反复提起。这是背景，不是论文结论。

二、跟你有什么关系

做模型的人：水印不再只是版权装饰，它是蒸馏取证的第一现场证据。做安全的人：对手模型不交权重也能查，采购前多一道验证手段。写论文的人：参数空间的几何性质当检测器，这个思路可以往别的任务上搬。

三、怎么判断

1. 怀疑被偷师，先确认自己有没有在输出里布水印，没布，这条链路从源头就是断的。
2. 拿到疑似蒸馏的模型，用黑盒方式批量取输出，不要指望对方开放权重。
3. 检出率不是百分百，低温蒸馏下仍有漏网，检出结果当线索用，不当铁证用。

四、三个别信的说法

输出看着不一样就没抄。 蒸馏学生重新表述了教师的回答，盆地信号照样留在参数里，表面改写不等于洗白。

低温采样能躲过一切检测。 它躲得开 token 统计，躲不开参数几何，这篇论文恰好打的就是这个缺口。

检出就等于法庭结论。 论文给的是证据增强手段，误报率虽低但非零，仍需结合其他取证材料。

水印只防版权盗用，别无他用。 这篇把它变成了取证工具：从防伪造，走到了事后追责，用途在扩宽。

只有大厂需要操心这事。 开放 API 的模型服务都在暴露面上，做垂直应用的小团队一样可能被批量抽取，水印意识宜早不宜晚。

五、一句话结论

水印刻在参数盆里，改输出改不掉它。

信息来源

• arXiv 摘要页：水印盆地的黑盒检测

事实引自 2026 年 10 月 27 日提交的论文摘要。

功能与价格以官方公告为准。本文写于 2026 年 10 月 28 日。