针对分布式模型提取的查询监测局限性

arXiv:2610.13083v1 公告类型：cross 摘要：如今，模型提供商面临着通过数千个账户发起的蒸馏活动，而每个账户看起来都像普通用户。当网络和支付元数据无法将这些账户关联起来时，剩下的唯一证据就是它们提出的问题。我们使用一百万条真实聊天轮次进行开发，并用之后17周内、未受任何设计选择影响的数据进行一次固定评估，研究提供商仅凭这些查询能够、以及不能够了解到什么。答案与提取行为本身的特殊性关系不大，更多取决于良性协调：只有当某项活动比同一周内最具鲜明特征的普通用户群体更加独特时，它才是可见的。我们对此进行了形式化，表明活动与用户之间一个微小但为正的差异带来的是检测所需时间，而不是可检测性，并确定了最难检测的活动。实证结果显示，经过校准的监测器能够捕捉到按账户监测器遗漏的朴素分布式提取活动（覆盖0.86至1.00的周数）；其中一种变体——在扣除每个账户的主题性之后，选择行动步调一致的账户——即使活动中填充了自然文本，仍能捕捉到其中的活动（覆盖0.50至0.96的周数），而另外两个谱检测器一个也捕捉不到。将每项活动蒸馏成一个小型学生模型后发现，在我们的测试环境中，能够躲过所有检测器的活动，其能力最多只有可检测活动的42%。这些局限同样具体：缓慢升级的活动会污染所有检测器的校准，良性的评估流程与模型蒸馏看起来完全一样；当串通者所占比例为2.5%或更低时，我们没有找到任何可部署的检测器；而转发真实用户请求的活动，可能对任何仅依赖查询的监测器都不可见。