该论文关注开放权重大语言模型（Open-weight LLM）在发布后被复制、微调并通过黑盒 API 二次分发的场景下，原始模型所有者难以进行发布后归属验证的问题。现有黑盒指纹方案通常依赖「秘密查询—密钥对」：向可疑模型发送特定触发输入，检查其是否返回预先定义的固定响应。作者指出这类方案脆弱，因为微调、剪枝、量化、模型合并以及服务端的提示模板改写都容易破坏这种精确匹配关系，一旦响应被扰动，指纹即失效。为此论文提出 SimPrint——一个可恢复的语义指纹框架。其核心思路不是依赖孤立的精确匹配，而是将私有所有者签名编码到一个带纠错能力的语义指纹域中，把所有权证据分散到大量自然语言二值问答（binary QA）探针上，使证据具备冗余与容错性。植入阶段采用低干扰的批量更新，只植入「偏离基座模型」的探针，尽量保持模型原有行为与下游效用不退化；验证阶段将可疑模型的响应解析为可靠比特或「擦除」（erasures），再通过纠错恢复机制还原出签名。由于整个流程仅依赖输入—输出查询，SimPrint 在无法访问模型权重或激活值的黑盒条件下依然适用，适用于仅能调用 API 的场景。作者在三个开放权重 LLM 上进行了实验，结果表明：无论在干净环境还是经过修改的环境中，SimPrint 都能可靠恢复所有者签名；在微调、剪枝、量化、模型合并以及服务时提示扰动等条件下保持鲁棒性；同时模型的下游任务效用与基线相比保持可比水平。总体而言，该工作把模型水印/指纹问题从「点对点精确匹配」重构为「编码—擦除—纠错的信道问题」，为黑盒模型版权归属验证提供了一条更抗扰动的技术路线，适合关注 AI 供应链、模型窃取与版权合规的研究者和安全工程师阅读。

本论文针对大规模扩散模型（如 DDIM 和 Stable Diffusion）的知识产权（IP）保护问题，提出了一种新颖的模型所有权验证框架 MiO（Membership is Ownership）。研究背景是：扩散模型在训练过程中消耗大量计算资源和高品质数据，因此被视为 OpenAI、Google 等科技公司的重要商业资产，但这些模型容易被攻击者窃取并用于定制化或商业用途。现有 IP 保护方法主要是训练时水印注入，但会带来可衡量的效用损失，且容易在后续微调中被削弱。MiO 方法不修改原始模型或采样流程，而是基于私有成员证据数据集进行群体水平的假设检验，通过两个标准验证所有权：一是利用成员推断进行模型归因，二是从公开参考模型中分离出待验证模型。两个标准均在 p<10^-6 的显著性水平下成立。作者在 DDIM 和 Stable Diffusion 模型上进行了评估，报告了 ROC-AUC 和固定误报率下的真阳性率。此外，MiO 在对抗场景下（如窃取后微调、权重扰动）保持稳定，表现出比水印方法更好的鲁棒性。该研究的核心贡献在于首次将成员推断用于扩散模型的所有权验证，且无需牺牲模型效用，为 AI 模型 IP 保护提供了新思路。适合 AI 安全研究人员、模型所有者和平台方阅读。

本文提出 MeMark，一种面向脉冲神经网络（SNN）模型水印的新方法，专门针对模型检查点复用（checkpoint-reuse）场景。现有 SNN 水印通常将标识嵌入输出层，攻击者只需替换输出头即可移除验证证据。MeMark 将多比特标识嵌入选定泄漏积分-触发（LIF）神经元的内部膜电位状态：通过秘密输入驱动每个选定神经元阈值的一侧，并在验证时利用同一阈值恢复比特，无需学习式解码器。作者在循环、卷积、残差及 transformer 结构 SNN 上评估，包括 2.154 亿参数的 SpikeGPT 检查点。实验显示：20 个独立 64 位密钥均通过 51/64 验证规则，而 30000 个随机密钥全部被拒绝；微调、90% 剪枝、int8 量化和输出头替换后，所有权证据仍存活。自适应攻击可削弱但无法完全移除水印。同时研究了错误所有权声明、密钥感知/不可知移除、部分密钥披露、回滚及知识蒸馏攻击。结果表明 MeMark 能提供检查点衍生模型的证据，同时抵抗主流攻击和完全头部替换。适合关注模型知识产权保护、AI 安全研究的读者。

深度神经网络（DNN）在数据采集和训练过程中成本高昂，因此被视为模型创作者的知识产权。未经授权的使用、篡改或窃取可能引发法律纠纷。现有DNN水印方法大多嵌入不可见标记、依赖非直观的算法评估且缺乏人类可理解的属性，并依赖刚性阈值，在部分水印擦除的情况下容易失效。为此，本文提出ClearStamp，这是第一种专为直观人工评估设计的DNN水印方法。ClearStamp嵌入可见水印，使人类能够在不依赖严格数值阈值的情况下做出判断，同时仍支持技术辅助评估。其核心创新在于定义了一种转置模型架构，允许以反向方式使用模型，从而将水印与主任务深度交织在所有模型参数中。相比现有方法，ClearStamp产生的视觉水印易于人类理解，无需复杂验证算法或严格阈值。由于水印嵌入所有参数并与主任务强耦合，该方法表现出卓越的鲁棒性，能够抵抗部分参数修改或模型微调等对抗性操作。实验表明，ClearStamp的8,544比特水印容量可与目前最强的工作相媲美。更重要的是，它的有效性不依赖于特定模型或数据集，在四个数据集和七种网络架构上的全面研究证明了其通用性和对对抗性模型操纵的恢复力。该研究为DNN知识产权保护提供了新的可验证、人类友好的解决方案。