面对动辄上亿美元训练成本的大模型被「白嫖」与恶意蒸馏的威胁，西安交大、中科院信工所等机构团队在 IJCAI 2026 发表重磅综述，首次提出「隐式身份（Implicit-ID）」统一理论框架，厘清了行业内长期混用的「指纹」与「水印」概念，并横跨数据集、模型、生成内容全生命周期给出系统化身份认证方案。
训练一个顶级大模型成本已达亿美元量级（以 GPT-4 为参考），但模型能力正面临被恶意蒸馏、套壳甚至窃取核心数据的巨大风险。2026 年以来，围绕模型输出使用边界与蒸馏合规性的讨论激增。
残酷的现实案例是：Anthropic 近期公开披露，其发现了利用欺诈账户和代理服务大规模访问 Claude、收集模型输出并规避检测的疑似恶意模型蒸馏活动。攻击者试图低成本复制大模型的能力，这凸显了仅依赖账户管理、访问控制和外部行为检测保护模型资产的局限性。
为回答「数据集是否遭未授权使用？模型是否被克隆改造？内容由谁生成？」这三个终极安全问题，来自西安交通大学、中国科学院信工所和澳大利亚迪肯大学的研究团队，在 IJCAI 2026 发表了这篇重磅综述。
论文提出了由「顶层概念-中层实现-底层机制」三个层次构成的概念框架。在顶层，隐式身份被定义为：大模型系统中不易被直接观察、但能通过特定验证程序识别和确认的身份信号。它隐藏在参数、表示、行为响应或生成内容的统计规律中，需借助特定算法、测试样本或密钥才能验证。
在中层，论文根据身份信号的形成方式，将隐式身份划分为两种主要实现形式，彻底厘清了行业长期混用的两个概念：
身份信号来源于资产自身固有的内在特征（如参数分布、输入-输出行为模式）。无需对原始资产主动修改，通过相似性比较归因实现验证。
通过外部干预，将预先设计、可验证的身份信号主动嵌入数据集、模型或生成内容中，后通过密钥进行身份验证。
在底层，论文从证据来源和验证路径归纳现有方法，形成一个紧凑的技术设计空间。验证路径主要分两类：不依赖预设密钥的相似性归因（提取待验证资产证据与参考证据匹配），以及依赖预嵌入信号的密钥验证（通过检测器判断特定水印是否存在）。
资产保护不应头痛医头、脚痛医脚。论文提出了一套横跨大模型生命周期与验证语义的二维分类体系：
这套分类法不仅对现有研究归类，更揭示了不同资产层面之间共享的验证逻辑，帮助研究者推导方法、攻击模型和评估压力条件在不同生命周期阶段之间的迁移关系。各层技术要点如下：
重点关注数据集指纹识别，包括统计指纹（基于损失、困惑度等记忆信号）和特定响应指纹，主要用于事后数据使用审计。
涵盖参数空间指纹、表示空间指纹、行为指纹，以及通过微调、模型编辑等方式嵌入身份信号的模型水印方法。
包括统计指纹、自然指纹，以及统计水印（红绿列表等）和带密钥采样水印（零失真水印等）。
为让身份验证系统真正落地工业界，论文建立了一套包含四个核心评估目标的框架，作为大模型身份验证的「体检标准」：
能否接受真实声明、拒绝虚假声明。以真阳性率（TPR）和假阳性率（FPR）为核心指标，建议报告固定 FPR 下的 TPR，或使用 ROC 曲线评估。
身份信号在微调、量化、剪枝、蒸馏、模型合并，以及文本改写、翻译等正常变换后能否继续被验证。以良性鲁棒性覆盖率汇总。
面对移除、规避、伪造和冒充攻击时的安全性。强调需明确攻击者的知识、权限和能力，以对抗鲁棒性覆盖率衡量抵抗能力。
水印需评估嵌入造成的性能或文本质量下降；指纹虽不直接影响效用，但可能有高查询、计算和存储开销。若依赖白盒访问或大量查询，即使识别性能高也难以部署。
尽管技术突飞猛进，综述也指出了当前行业面临的三大痛点：
如何在不牺牲模型聪明程度的前提下打上强力水印，身份安全与模型效用难以兼顾。
面对模型迭代演化与自适应攻击，身份信号极易发生「漂移」和失效，鲁棒性不足。
验证过程往往需要极高的白盒权限或算力开销，缺乏低成本且标准化的评测基准。
本文核心事实引自一篇发表于 IJCAI 2026 的学术综述，属阶段性理论梳理与倡议，并非已被广泛验证的工业级防伪标准。综述提及的 Anthropic 疑似恶意蒸馏事件，目前仅为企业单方披露，未见第三方独立复测或攻击细节公开。读者宜将其视为学术界对「模型资产确权」这一新兴命题的系统性定义倡议，而非现成可用的成熟防御产品。
这篇综述的真正价值在于：它把分散在数据、模型、内容三个维度的「打标记」研究，统一拉到了「身份验证」的法律证据学逻辑下。当大模型成为基础设施，模型权属纠纷与内容溯源必然从技术探讨走向司法诉讼，而司法裁判的前提是清晰、可验证、抗篡改的「身份」定义。
大模型产业的下一个竞争焦点，正从「谁的参数更强」转向「谁能证明这是谁的模型」——身份确权将成为 AI 资产化与合规交易的基础设施前提。
论文完整版预印本已公开，可访问 arXiv 获取这一快速发展的研究方向全文。
arxiv.org/abs/2605.29245 → 阅读论文