快速入门 LLM 模型版权安全：从领域全貌到前沿论文

摘要 LLM 模型版权安全关注如何识别、验证和追踪大语言模型的所有权、身份及来源关系。

对科研新手而言，高效的入门顺序不是随机阅读大量论文，而是：

领域地图 → 核心概念 → 综述 → 代表论文 → 攻击与评测 → Model Provenance → Research Gap。

本文给出一条可执行的学习路线，目标是在较短时间内建立完整知识框架，并具备独立阅读前沿论文和发现研究问题的能力。

说明｜术语说明 本文所说的 Model Copyright Security 主要是技术研究语境下的“模型知识产权保护、所有权验证和来源追踪”。

技术方法可以提供模型之间存在继承、派生或相似关系的证据，但技术上的来源验证并不自动等同于法律意义上的版权归属判定。

1. 先建立领域地图

进入该领域后，首先不要记具体算法，而要回答五个基本问题：

1. 如何证明一个模型与我的模型存在来源关系？
2. 模型经过修改后，版权证据还能保留吗？
3. 攻击者能否删除、伪造或冒充版权证据？
4. 如何可靠评价一个版权验证方法？
5. 一个模型究竟由哪些模型演化而来？

它们基本构成当前 LLM 模型版权安全的主要研究框架。

初学阶段只需要做到：

看到一篇论文，可以判断它属于这张图的哪个位置。

这比一开始理解所有公式更加重要。

2. Ownership Verification：如何证明模型来源？

模型版权保护最基础的问题是：

给定源模型 $M_s$和嫌疑模型$M_t$，如何判断$M_t$ 是否由 $M_s$派生？

目前主要有两条技术路线：

2.1 Model Watermarking

Model Watermarking 的核心思想是：

在模型发布之前主动植入只有模型所有者掌握的身份信息。

典型流程：

常见方式包括：

• Parameter Watermark
• Representation Watermark
• Backdoor / Trigger Watermark
• Functional / Subspace Watermark

它的关键特征是：

模型必须被主动修改。

2.2 Model Fingerprinting

Model Fingerprinting 更强调：

从模型本身提取具有区分性的身份特征。

这些特征可能来自：

• 参数；
• 输出行为；
• Hidden Representation；
• Attention Pattern；
• Gradient / Jacobian；
• Functional Representation；
• Knowledge Boundary。

因此可以做一个简单但并非绝对的理解：

需要注意的是，当前文献中的术语边界并不完全统一。有些综述也会把主动植入式 Model Watermark 纳入更广义的 Model Fingerprinting 框架。2025 年的 LLM copyright survey 就专门讨论了 text watermark、model watermark 与 model fingerprinting 之间的关系。

3. Black-box 与 White-box

这是阅读模型版权论文时必须首先判断的条件。

3.1 Black-box Verification

只能访问：

通常看不到：

• 参数；
• Hidden States；
• Attention；
• Gradient；
• 内部网络结构。

Black-box 方法更接近：

• 商业 API；
• 第三方模型服务；
• 无权访问模型权重的审计场景。

3.2 White-box Verification

White-box 方法可以访问模型内部信息，例如：

• Weights；
• Activations；
• Hidden States；
• Attention；
• Gradient。

通常可以提取更丰富的模型特征，但适用场景受到模型访问权限限制。

因此以后每读一篇论文，第一件事就是标记：

1
2
3
4

Verification Setting:
- Black-box
- Gray-box
- White-box

4. 一个关键区别：Similarity ≠ Ownership

这是理解整个领域非常重要的一步。

假设：

那么 A 和 B 存在明确的派生关系。

但是两个独立模型：

1

Model A        Model C

也可能因为：

• 架构相近；
• 训练数据相似；
• 使用同一基础模型；
• 能力相近；

而产生相似输出。

因此：

重要提示 模型相似，并不等价于模型存在所有权或派生关系。

真正可靠的模型版权验证需要尽可能回答：

而不仅是：$Similarity(M_t,M_s)$

这也是后续 False Ownership Claim、Model Provenance 和统计可靠性研究的重要基础。

5. Robustness：模型被修改以后怎么办？

现实中的模型往往不会保持原样。

一个模型发布以后可能经历：

常见模型变换包括：

• Full Fine-tuning
• LoRA / PEFT
• RLHF / DPO
• Quantization
• Pruning
• Distillation
• Model Editing
• Model Merging

因此，仅仅能够识别原始模型并不够。

一个实用的版权验证方法应该尽可能满足：

其中：$T$代表某种模型变换。

例如：

或者：

甚至：

6. 为什么 Model Merging 特别值得关注？

假设：$M_C=\alpha M_A+(1-\alpha)M_B$

则：

此时问题明显变复杂：

• A 的 fingerprint 是否还存在？
• B 的 fingerprint 是否也存在？
• 能否识别两个父模型？
• 能否估计不同父模型的贡献？
• 攻击者能否通过 merging 清洗版权证据？

MergePrint 就是针对这一问题设计的工作，它通过模拟 pseudo-merged model，使植入的 fingerprint 在模型合并后仍能够用于黑盒验证。

这也意味着模型版权研究正在从：

单一模型识别

逐渐走向：

复杂模型血缘关系分析。

7. Copyright Attacks：从版权验证进入安全攻防

模型版权研究真正具有“安全”属性的地方，是必须考虑攻击者。

一个完整的 Threat Model 应该至少考虑：

7.1 Fingerprint Removal

攻击目标：

同时保持：

例如 MEraser 研究了如何通过两阶段 fine-tuning 去除 backdoor-based fingerprints，同时尽量保持模型能力，其结果说明“能够植入 fingerprint”并不等于 fingerprint 本身安全。

因此真正应该问的是：

攻击者知道模型被保护后，是否仍然无法有效删除版权证据？

7.2 False Ownership Claim

另一类攻击甚至不需要删除 fingerprint。

攻击者可能尝试事后构造所谓的“证据”，然后声称：

“这个模型是由我的模型派生的。”

FIT-Print 专门指出一些 untargeted fingerprint 方法可能受到 false-claim attack，并通过 targeted fingerprint/signature 设计提高对此类攻击的抵抗能力。

这进一步说明：

7.3 Fingerprint Spoofing

Spoofing 的目标不是删除身份，而是：

伪装成另外一个模型。

例如第三方模型服务可能尝试让较弱模型模仿目标模型的身份特征。

因此 fingerprint 系统最终需要同时抵抗：

1
2
3
4
5

Removal
Spoofing
Forgery
False Claim
Adaptive Attack

8. Copyright Auditing：怎样判断一个方法真的可靠？

模型版权验证不能只看：

Accuracy = 98%

一个更完整的评价体系应该至少考虑：

2025 年的 SoK 工作进一步提出 LeaFBench，包含 149 个模型实例和 13 类 post-development transformations，既包括 fine-tuning、quantization 等参数修改，也包括 system prompts、RAG 等不直接修改参数的机制，用于更系统地评估 LLM fingerprinting。

这篇论文值得科研新手重点阅读，因为它能帮助你理解：

现有方法究竟在哪些现实条件下会失效？

9. 从 Fingerprinting 进一步走向 Model Provenance

Fingerprinting 经常解决的是二元问题：

1

Model B 是否来自 Model A？

但真实模型生态可能是：

这时候真正需要回答的是：

模型究竟是如何演化出来的？

于是研究进一步进入：

• Model Provenance
• Model Lineage
• Model Genealogy
• Base-model Attribution
• Multi-source Attribution
• Merge Decomposition

10. 从 Model Fingerprint 到 Model DNA

传统 fingerprint 通常解决：

1

A 与 B 是否存在关系？

Model Lineage 希望进一步恢复：

1
2
3
4

谁是父模型？
谁是子模型？
发生过哪些模型变换？
多个模型之间是什么演化关系？

例如 LLM DNA 将模型功能行为表示为低维 representation，并利用这些表示研究模型之间的继承与演化关系；论文实验覆盖了 305 个 LLM，并进一步利用 phylogenetic algorithms 构建模型演化树。

可以把这一研究演化理解为：

11. Intrinsic Fingerprint：模型是否存在天然身份？

传统 watermark 往往需要主动修改模型。

于是一个自然的问题是：

模型本身是否存在不需要人为植入的身份特征？

这就是：

Natural / Intrinsic Fingerprint

例如 SeedPrints 研究了随机初始化是否会产生持久的模型身份信号，并发现初始化产生的 seed-dependent prediction bias 可以持续到后续训练阶段，用于 lineage verification。

其思路可以简化成：

这类工作非常接近“模型生物特征”的思想。

12. 从经验相似度走向 Provable Provenance

很多 fingerprint 方法最终都会得到：

然后设定阈值：

就认为模型存在来源关系。

问题是：

为什么阈值 (t) 是可信的？

进一步还需要回答：

• False Positive 有多大？
• 多个候选来源怎么办？
• 如何给出置信水平？
• 如何避免错误归因？

2026 年的 Provable Model Provenance Set for Large Language Models 就开始尝试把 provenance 从 heuristic matching 推向带有错误控制的统计推断，并考虑多个潜在来源模型。

因此未来一个重要方向是：

这比简单提高几个百分点的识别准确率更值得关注。

13. 推荐的综述阅读顺序

初学阶段不需要阅读大量 Survey。

建议首先读三篇。

13.1 第一篇：建立 Model Copyright 总框架

Copyright Protection for Large Language Models: A Survey of Methods, Challenges, and Trends

重点理解：

• Text Watermarking
• Model Watermarking
• Model Fingerprinting
• Fingerprint Transfer
• Fingerprint Removal
• Evaluation Metrics

该综述明确将重点放在保护模型本身，而不仅是追踪 LLM 生成文本。

13.2 第二篇：重点理解 Fingerprinting 与评测

SoK: Large Language Model Copyright Auditing via Fingerprinting

重点看：

• White-box vs Black-box
• LeaFBench
• Post-development Transformations
• 现有方法的实际失效情况

尤其关注论文中的：

现有方法为什么不可靠？

而不是只记住哪个方法 Accuracy 最高。

13.3 第三篇：把视角扩大到 Identity

Implicit Identity Technologies for LLMs: Fingerprinting and Watermarking across Datasets, Models, and Generated Content

用来建立：

1
2
3
4
5

Dataset Identity
      ↓
Model Identity
      ↓
Generated-content Identity

的更完整视角。

14. 代表论文应该按照“问题链”阅读

不要按照年份随机阅读。

推荐按下面的演化关系阅读：

对应可以使用下面这条阅读路线。

阶段 A：理解 Fingerprint

FPEdit

关注：

如何通过 localized knowledge editing 注入较自然且相对稳健的 fingerprint？

FPEdit 使用稀疏、局部的模型修改嵌入自然语言 fingerprint，并测试了 full fine-tuning、PEFT、quantization 和 pruning 等场景。

ZeroPrint

关注：

Black-box 场景中，仅观察模型输出是否包含足够的身份信息？

ZeroPrint 使用 zeroth-order estimation 近似输入梯度 / Jacobian，将其作为更丰富的 black-box fingerprint。该工作发表于 WWW 2026。

阶段 B：理解 Robustness

MergePrint

关注：

Model Merging 后 fingerprint 如何保留？

重点理解：

• pseudo-merged model；
• merge-resistant fingerprint；
• black-box verification。

阶段 C：理解攻击

MEraser

关注：

已经植入的 fingerprint 能不能被攻击者删除？

FIT-Print

关注：

攻击者能不能虚假声称自己拥有某个第三方模型？

这一阶段开始真正进入：

Fingerprint Security

而不仅仅是 Fingerprint Design。

阶段 D：理解 Intrinsic Identity

SeedPrints

关注：

模型初始化是否已经产生了可以长期保留的身份特征？

阶段 E：理解 Model Lineage

LLM DNA

关注：

能否从二元 fingerprint matching 进一步恢复模型之间的演化关系？

阶段 F：理解 Reliable Provenance

Provable Model Provenance Set

关注：

如何从 heuristic similarity 升级为具有统计错误控制的来源验证？

15. 科研新手读一篇论文，只回答 8 个问题

第一轮不要逐句翻译。

每篇论文先回答：

问题｜Paper Reading — 8 Questions

1. Problem：论文解决什么问题？
2. Gap：为什么已有方法解决不好？
3. Core Idea：作者最核心的思想是什么？
4. Input：方法输入是什么？
5. Output：最终输出什么？
6. Evaluation：作者如何证明方法有效？
7. Threat Model：考虑了哪些模型修改或攻击？
8. Limitation：最大的不足是什么？

其中最值得花时间的是：

Gap + Limitation

因为科研问题通常就产生在两者之间。

16. 用“问题演化链”理解论文

不要把每篇论文当成独立工作。

更好的阅读方式是：

放到模型版权领域，可以形成：

当能够自己画出这种关系图时，就已经开始真正理解该领域。

17. 如何从论文中寻找 Research Gap？

以后读论文时，可以固定检查下面几个维度。

17.1 模型变换是否覆盖完整？

论文测试：

1
2
3

Fine-tuning ✓
LoRA ✓
Quantization ✓

继续问：

1
2
3
4
5

Distillation ?
Model Merging ?
DPO / RLHF ?
Model Editing ?
Pruning ?

17.2 Threat Model 是否足够强？

继续问：

• 攻击者是否知道算法？
• 是否知道验证流程？
• 是否能多次查询 verifier？
• 是否能观察验证结果？
• 是否考虑 adaptive attack？

17.3 是否考虑 False Positive？

不要只问：

能不能识别真正的派生模型？

还要问：

会不会把无关模型认成自己的？

即：$TPR\uparrow$，同时需要：$FPR\downarrow$

17.4 是否考虑 False Ownership Claim？

即使 fingerprint 很稳定，也需要问：

第三方能否伪造证据？

17.5 是否只有经验阈值？

如果论文只是：$Similarity>0.8$

继续问：

• 0.8 为什么合理？
• 是否经过 calibration？
• 是否有 confidence？
• 是否有 statistical guarantee？
• 多模型比较时如何控制错误？

这些问题都可能成为后续研究空间。

18. 在 Obsidian 中建立知识库

建议不要把所有论文混在一个文件夹。

可以采用：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

Research/
└── LLM-Model-Copyright/
    ├── 00-Overview/
    │   ├── Model-Copyright-Map.md
    │   └── Research-Roadmap.md
    │
    ├── 01-Surveys/
    │
    ├── 02-Watermarking/
    │
    ├── 03-Fingerprinting/
    │
    ├── 04-Robustness/
    │
    ├── 05-Attacks/
    │
    ├── 06-Benchmark/
    │
    ├── 07-Provenance-Lineage/
    │
    ├── 08-Research-Gaps/
    │
    └── 09-Ideas/

其中真正应该经常维护的是：

1
2
3

00-Overview
08-Research-Gaps
09-Ideas

因为它们代表的不是“读过多少论文”，而是：

你对领域形成了多少自己的结构化理解。

19. 推荐的 Obsidian 论文笔记模板

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149

---
title:
paper:
year:
venue:
authors:
tags:
  - paper
  - model-copyright
status: unread
rating:
---

# {{title}}

## TL;DR

一句话说明论文解决的问题和核心方法。

---

## 1. Research Problem

> 这篇论文究竟解决什么问题？

---

## 2. Research Gap

已有方法的问题：

1.
2.
3.

---

## 3. Core Idea

> 作者最核心的思想是什么？

---

## 4. Method

### Input

### Process

### Output

---

## 5. Verification Setting

- [ ] Black-box
- [ ] Gray-box
- [ ] White-box

需要访问：

- [ ] Output
- [ ] Logits
- [ ] Hidden States
- [ ] Attention
- [ ] Gradient
- [ ] Parameters

---

## 6. Threat Model

- [ ] Fine-tuning
- [ ] LoRA / PEFT
- [ ] Quantization
- [ ] Pruning
- [ ] Distillation
- [ ] Model Merging
- [ ] Fingerprint Removal
- [ ] Spoofing
- [ ] False Ownership Claim
- [ ] Adaptive Attack

---

## 7. Experiments

### Models

### Datasets

### Baselines

### Metrics

---

## 8. Main Results

1.
2.
3.

---

## 9. Strengths

1.
2.
3.

---

## 10. Limitations

1.
2.
3.

---

## 11. Research Gap

可能继续研究的问题：

1.
2.
3.

---

## 12. Attacker's View

> 如果我是攻击者，我会如何破坏这个方法？

---

## 13. My Ideas

-
-
-

---

## Related Papers

- [[]]
- [[]]

20. 一个非常重要的科研习惯

以后每读一篇模型版权论文，都额外问一句：

安全视角 如果我是攻击者，我会怎么把它破掉？

如果论文声称：

Robust against Fine-tuning

继续问：

1
2
3
4
5

Quantization 呢？
Distillation 呢？
Model Merging 呢？
Model Editing 呢？
Adaptive Attack 呢？

如果论文声称：

可以判断模型来源

继续问：

1
2
3
4

False Positive 呢？
独立训练的相似模型呢？
False Ownership Claim 呢？
统计置信度呢？

如果论文声称：

Black-box Verification

继续问：

1
2
3
4
5
6

查询成本呢？
API 限流呢？
Temperature 呢？
System Prompt 呢？
输出随机性呢？
服务商故意过滤查询呢？

对于安全研究来说：

寻找方法在更强攻击条件下为什么失效，往往比单纯提高几个百分点的 Accuracy 更有研究价值。

21. 推荐的 14 天入门路线

每天不需要阅读大量论文。

目标是逐步建立结构。

22. 两周以后应该达到什么程度？

目标不是：

会推导所有公式。

也不是：

已经能够复现所有论文。

而应该达到：

学习目标 给你一篇新的模型版权安全论文，可以在较短时间内判断：

• 它属于哪个研究方向？
• 它解决什么问题？
• 为什么已有方法不够？
• 它采用 Black-box 还是 White-box？
• 它考虑了哪些模型变换？
• Threat Model 是否合理？
• 最大的 Limitation 是什么？
• 可以从哪里继续攻击或改进？

能够做到这些，就说明已经初步建立了该领域的研究框架。

23. 推荐重点关注的四条研究线

建立全貌以后，可以重点观察以下四个方向。

23.1 Robust Model Fingerprinting

研究：

模型经过现实后处理以后，版权证据是否仍然存在？

重点关注：

• Fine-tuning
• LoRA
• Quantization
• Distillation
• Model Merging

23.2 Fingerprint Security

研究：

攻击者能否主动破坏、删除或伪造模型身份？

重点包括：

• Removal
• Spoofing
• False Ownership Claim
• Adaptive Attack

23.3 Model Provenance / Lineage

研究：

模型究竟从哪里来？

包括：

• Base-model Attribution
• Derivative Detection
• Model Genealogy
• Merge Decomposition
• Multi-source Attribution

23.4 Reliable / Provable Verification

研究：

如何把“经验上的模型相似”升级为“可信的来源证据”？

重点包括：

• Calibration
• False Positive Control
• Statistical Testing
• Confidence
• Error Guarantee
• False-claim Resistance

24. 总结

科研新手进入 LLM 模型版权安全领域，可以把整个学习过程压缩成一条主线：

而该领域本身的研究演化，也可以概括为：

对于科研新手，第一阶段最重要的不是积累 PDF 数量，而是建立三个能力：

知道论文属于哪里。

知道它解决了前人的什么问题。

知道它还留下了什么问题。

当你开始习惯从：

的角度阅读论文时，就已经从单纯的“论文阅读”逐渐进入真正的科研过程。

延伸主题

• LLM Model Copyright Security
• Model Watermarking
• Model Fingerprinting
• Ownership Verification
• Black-box Fingerprinting
• Fingerprint Removal
• False Ownership Claim
• Model Provenance
• Model Lineage
• Model Merging
• Research Gap
• Paper Reading Workflow