Суть явления: «Цифровой отпечаток» как криптографический инструмент
Исследователь Matthew Ritchi опубликовал результаты экспериментов, демонстрирующих, что модели с закрытыми весами (closed-weights) обладают уникальной способностью к самоидентификации. Если две копии одной и той же модели (например, Sonnet 5.5) задавать одни и те же вопросы, их ответы совпадают значительно чаще, чем ответы разных моделей. Это статистическое сходство позволяет использовать LLM не только как чат-ботов, но и как инструменты для генерации секретных ключей или «отпечатков» (fingerprinting) через публичный канал связи.
Методология: 150 случайных пар и 4 флагмана
Для проверки гипотезы были использованы четыре закрытые модели: Opus 5.5, Sonnet 5.5, GPT-6 Sol и GPT-6 Luna (с включенным режимом рассуждения). Параметр температуры не использовался (применялся дефолтный сэмплинг API). Эксперимент состоял из 150 случайных вопросов типа «Что вы предпочитаете: A или B?», где варианты ответов генерировались из случайных прилагательных и существительных (например, «морской шлем или мраморный чайник?»). Каждый вопрос задавался модели 8 раз для оценки вариативности.
Ключевые метрики: Насколько надежна связь?
Результаты показали, что внутри одной модели согласие достигает почти 97%, что создает достаточный сигнал для выделения секретных битов. Ниже приведены сравнительные данные по моделям:
| Модель | Согласие копий (%) | Самая похожая другая модель | Вопросов для отпечатка (10⁻⁶ ошибка) | Секретных битов на вопрос | Вопросов для 128-битного ключа |
|---|---|---|---|---|---|
| Sonnet 5.5 | 96.9% [95.3, 98.3] | GPT-6 Sol (предсказание) | 121 [84, 197] | 0.50 [0.39, 0.60] | 258 [215, 332] |
| GPT-6 Sol | 92.4% [90.2, 94.5] | Sonnet 5.5 | 235 [145, 443] | 0.33 [0.24, 0.42] | 385 [305, 530] |
| Opus 5.5 | 89.4% [86.7, 91.8] | Sonnet 5.5 | 544 [282, 1530] | 0.21 [0.12, 0.29] | 610 [443, 1031] |
| GPT-6 Luna | 85.1% [81.8, 88.2] | GPT-6 Sol | 1057 [447, 4085] | 0.14 [0.07, 0.21] | 924 [599, 1845] |
Примечание: значения в скобках — 95% доверительные интервалы. Для генерации 128-битного ключа Sonnet 5.5 требуется всего около 258 вопросов, тогда как GPT-6 Luna — более 900.
Почему это важно: Уязвимость и новые возможности
Этот метод позволяет двум сторонам, имеющим доступ к одной и той же модели (или её копии), согласовать секретный ключ, используя только одностороннюю публичную коммуникацию. Им не нужно раскрывать веса модели или обмениваться явными криптографическими данными до этапа уточнения по протоколу Морера (Maurer's secret key agreement). Это создает новый вектор для стеганографии и координации агентов ИИ, а также инструмент для «отпечатков» — проверки того, что ответ генерирует именно та модель, которую ожидает пользователь, а не подделка.
Важное уточнение: Прогнозирование не помогает
Интересный побочный результат: если попросить модель предсказать, что ответит другая модель, это не выравнивает их ответы. Более того, просьба к модели предсказать собственные ответы в третьем лице («Что бы выбрал этот ИИ?») значительно ухудшает точность и согласованность. Основной сигнал для ключа исходит из «полярных» вопросов, где модели проявляют устойчивые внутренние предпочтения.
Источник: LessWrong ↗