Pesquisadores propõem SWIFT, um framework que incorpora a marcacao de agua (watermarking) de saidas de LLM diretamente no motor de inferencia, em vez de trata-la como um componente externo separado, reduzindo a latencia em 5,9x frente a abordagens anteriores e mantendo 97,7% de deteccao mesmo sob ataques de remocao de marca de agua. O trabalho ataca o problema pratico de que mecanismos de verificacao de autoria/propriedade de texto gerado por IA costumam ser caros demais para uso em producao em escala.
Fonte ↗Um novo método embute assinaturas físicas únicas (PUFs, Physical Unclonable Functions) derivadas de FPGAs diretamente nos logits do modelo professor durante a destilação de conhecimento, fazendo com que qualquer modelo aluno treinado a partir desses logits herde uma identidade rastreável ao dispositivo de origem. A técnica resiste a modificações pós-destilação e permite atribuir vazamentos de propriedade intelectual a um dispositivo específico, algo que watermarking de software tradicional não consegue.
Fonte ↗A Anthropic identificou seis campanhas de extração de conhecimento contra o Claude, atribuídas a empresas como Alibaba, Moonshot AI, DeepSeek, Zhipu/Z.ai, Xiaomi, SenseTime e MiniMax, somando centenas de milhões de interações fraudulentas entre fevereiro e julho de 2026. As campanhas usaram contas falsas, cartões roubados e redes de proxy para mascarar a origem das requisições e coletar respostas do modelo, incluindo cadeias de raciocínio, para treinar concorrentes.
Fonte ↗O trabalho explora um fenômeno em que certas condições de entrada fazem um modelo de difusão gerar imagens quase idênticas mesmo variando a semente aleatória — um comportamento intrínseco e específico de cada modelo, usado como impressão digital para provar propriedade sem inserir marca d'água nenhuma. A técnica funciona tanto com acesso total ao pipeline quanto apenas via API pública, e se mantém confiável mesmo em versões fine-tunadas ou sob tentativas de ofuscação.
Fonte ↗Pesquisadores mostram que, mesmo quando arquivos de uma skill proprietária de agente de IA permanecem totalmente ocultos, um atacante pode reconstruir sua funcionalidade apenas observando entradas e saídas de uso normal, sem qualquer vazamento de arquivo. O ataque SkillClone, testado contra 30 skills, conseguiu recuperação exata ou parcial em vários alvos, mostrando que sigilo de arquivo não implica sigilo funcional.
Fonte ↗