让模型说个随机数，答案分布就能认出它是谁

布拉格经济大学的 Tomáš Bruckner 想出了一个巧办法：让 AI 说个随机数，光看它怎么答，就能认出它是谁。

这招利用的是 AI 一个出了名的毛病：它说不出真正的随机数。你让它 1 到 100 随便挑，它翻来覆去就挑那一两个，而且每家模型的「口头禅数字」还不一样：GPT-4o 最偏爱 42（37 和 57 也常说），Claude Sonnet 5 几乎只说 47，Llama 3.3 认准了 53，Qwen3-Max 更绝，30 次采样每一次都答 42。以前大家都把这当缺陷、研究怎么修，这篇论文反过来，把它当成了指纹。

四家的分布画出来长这样：

同一个问题，四个模型的答案分布（英语，温度 1.0，各 30 次采样）。GPT-4o 的概率散在 42、37、57 几个数上，42 最高约 0.44；Claude Sonnet 5 几乎全压在 47；Llama 3.3 几乎全压在 53；Qwen3-Max 每一次都答 42。图源：arXiv:2607.10252 Fig.1

这种偏科程度能算出来。把 165 个模型 × 40 道题拆成一格一格，答够 10 次有效的有 6572 格；这些格子里，答案的中位熵答案有多难猜。1 bit 差不多相当于答案基本在两个选项之间摇摆只有 1.00 bit，而真随机应该到 6.64 bit（按「1 到 100」这道题算）。每格里模型最爱的那个答案（不只数字题，随机词/颜色/城市也一样），通常能占掉七成回答（中位占比 0.71）。

同一份权重，在目录里会挂着好几个名字

动手之前得先掰扯清楚：测的到底是什么。聚合器目录里，名字和权重是多对一的：同一份权重会顶着好几个名字同时挂在那儿：滚动更新的 -latest、带日期的快照、免费档、思考档、快速档、长上下文档。

所以论文分三层说话：检查点是一份具体的权重，指纹按的是它；接口是一条「自称通向某个检查点」的服务路径；家族是同一个祖先传下来的一串检查点。核验查的是「接口给的是不是它自称的那份权重」，认亲查的是「这份权重出身哪家」。你买的那个名字，本身什么都不保证。

一个字里为什么会有身份信息

这张分布同时叠着四层东西，每一层都在往里写自己的痕迹。

看到这你可能想问：既然温度 0 下同一家服务商 90.4% 的题每次答案都一样，干嘛不直接比温度 0 的答案、问三次就完事？三个原因：各家的「保险答案」爱撞车（都答 42 就分不出谁是谁）；跨服务商温度 0 的确定性掉到 84.5%，单点本身就不稳；而一整张分布的信息量远大于一个点。所以必须让它「随机」起来，反复问。

为什么压缩和蒸馏躲不过这类问题

量化是把权重四舍五入到更低精度；蒸馏是让大模型当老师、教出个小模型来顶班。先说量化：模型有把握的题，这点误差改不了它挑哪个答案，所以跑分基本看不出事。但几个候选答案咬得紧的时候，这点误差就够把它们的排位搅乱。

而「说个随机数」恰好就是这种题：几个口头禅数字都说得过去，谁多谁少没有对错，全看那点微妙的概率分配。指纹读的正是这个配比。

怎么把「像不像」变成一个能比的数

光一道题不保险：两个模型完全可能恰好都爱说 42。所以题库是 10 道题、各用 4 种语言问，共 40 道。

为什么要问十道题、还要问四种语言

论文对这三条设计各给了一句理由，下面是按这几句展开的解释。

封闭题和开放题各干各的活。抛硬币只有两个答案、1 到 10 只有十个，所有模型都在同一组选项里挑，比的是精细配比。但再怎么不同，硬币也就俩选项，差异有上限。开放题（随机词、城市、动物）答案没有边界，两个模型可能一个都不重合，距离直接顶到头。一类负责在近亲之间抠出细微差别，一类负责把不相干的模型一把推开。

「随机」和「最喜欢」是两道不同的题。问随机数，是让它当抽签机；问最喜欢的数，是问它的人设，而人设是后期调教捏出来的。两个模型可能随机数撞车、最喜欢的数分开，这一对题等于白赚一个维度。

换种语言问，问到的是另一片记忆。中文语料里「随便说个城市」的常见答案，跟英文里的不一样。所以四种语言等于从四个不同的切面各采一份信号。反过来说，想冒充的人得把四套语言习惯全对上。

两张分布表差多远，用一个数表示

两张分布表差多远，用 Jensen-Shannon 散度衡量两张答案分布表差多远，取值 0 到 1。对称，而且两张表连一个共同答案都没有时照样算得出来折成一个 0 到 1 的数。选它有个实际原因：哪怕两个模型答的城市一个都不重样，它照样算得出有意义的距离，开放题正需要这个。两个模型的总距离，就是在双方都有足够样本的题上取平均。

单道题层面，同一个模型自己跟自己比是 0.075，两个不同模型之间是 0.489（注意口径：这是一道题的数，跟下面 40 道平均后的尺子别直接对着比）。平均之后，就是这把尺子。

换一家服务商，指纹还认得出吗

这里有个致命问题得先回答：换一家服务商，指纹会不会就变了？要是会，那测的就是机房，不是模型。OpenRouter 正好送了个天然实验：165 个模型里有 31 个同时挂在两家以上服务商、样本又够，凑出 34 对能直接对比，每对至少 15 道共同题。

结论：指纹基本扛住了换服务商这一关。没扛住的共 10 对，最扎眼的两对，后面「体检结果」那节细说。

一次身份体检要花多少钱

查一次「这个接口背后是不是真货」，总共四步。

打分方式跟指纹门禁一个思路：「真身测试」拿同一个模型的两半样本互相比，「冒充测试」拿 A 模型的一半跟 B 模型的一半比。165 组真身、27060 组冒充跑下来，全套 40 道题 AUC 0.971，等错误率把门槛调到「冤枉好人」和「放过坏人」一样多的位置，此时的错误比例。7.3% 约合每 14 次判断错一次 7.3%。

核验的 ROC 曲线。看法是：曲线越往左上角贴越好，中间那条对角线代表瞎猜的水平。这条线几乎贴着左边墙直上去，曲线下面积 0.971。图源：arXiv:2607.10252 Fig.3

少问几道题，准确率会掉多少

等错误率随题目数量的变化，竖线是随机抽取子集造成的波动范围。曲线在 16 到 24 道之后基本走平，再加题换不到多少准确度。图源：arXiv:2607.10252 Fig.4

只问一道题就已经比瞎猜（50%）强出一大截。按 16 道题、每道 15 次算：一次审计 240 次查询、约 1.6 万输入 token，普通定价的模型花不到一美分，旗舰模型也就几美分。

指纹还能看出这个模型是从谁那儿来的

同一个模型的指纹挨得近，那同一家族的模型呢？把 165 个模型两两算距离、让机器把挨得近的自动归堆（聚类），答案是：也近，但没那么可靠。这是论文里偏弱的一组结果，主要价值是给下一节那几个案例当参照。

165 个模型按指纹平均距离聚出的树，叶子标签按有据可查的家族着色。大片同色聚在一起的地方，就是指纹认出的家族。图源：arXiv:2607.10252 Fig.2

算法是「藏一个猜一个」：把每个模型轮流藏起来，看离它最近的邻居是谁家的，就猜它是谁家的。在 163 个有同家族同伴的模型上，猜对率 59.5%，瞎猜的基线是 18.4%，高出 3.2 倍。

弱的那面也摆在那儿：想让这棵树自动分出 19 个界线分明的家族圈？分不出来。这多半怪不着指纹：标签里有个装着 17 个互不相关厂商模型的「other」大杂烩，还有一堆单例家族，天生聚不成块，论文自己也说这在预期之内。看「谁离它最近」能认出血统，看整体分块认不出。

精确率是「被判进这个家族的，有多少真是」；召回率是「这个家族的成员，有多少被找了出来」。GLM 那行精确率 1.00：凡是判成 GLM 的全判对了。Llama 那行值得多看一眼：精确率 0.88 不差，召回率只有 0.58，等于 Llama 家快一半的成员没待在自家地盘上。下一节就有其中一个。

另外，59.5% 是个保底数：打分的标准答案来自公开文档的家族标注，文档标错了，就算指纹其实找对了亲戚也要扣分；反方向的错不存在。所以真实水平不低于 59.5%。

这次体检查出了什么

把尺子架到真实生态上，出来几组对不上的接口。先说清楚：这些是统计上的对不上，不是谁在欺诈的指控。权重更新了、拿到许可的量化、缓存层，都可能是无辜的解释。

有几个接口的指纹，对不上它自称的身份

无辜的解释也真实存在：拿 Qwen 底座训自己的模型，本身完全合法。紧接着就有一个清白的例子。

deepcogito/cogito-v2.1-671b 白纸黑字写着自己是从 DeepSeek V3 底座训的，它指纹上最近的三个邻居恰好全是 DeepSeek 检查点（0.268 到 0.308），指纹跟公开血统对上了。xiaomi/mimo-v2.5-pro 和 inclusionai/ling-2.6-1t 也稳稳落在 Qwen 邻域里。

把这两组数摆在一起看才见分晓：白纸黑字的合法衍生品，离底座的距离在 0.27 上下，是「亲戚」的距离；palmyra 的 0.141 贴着 0.140 的噪声地板，是「本人」的距离。一个高出地板一大截，一个贴地。论文保持不指控的口径，数字放在这儿，怎么读你自己定。

还有一种情况是痕迹被抹掉了：nvidia/llama-3.3-nemotron-super-49b-v1.5 有文档记载是 Llama-3.3 的衍生品，可它的指纹离 Qwen（0.303）比离任何一个 Llama 都近。后期训练下手够重，出身就被盖住了。上一节 Llama 召回率只有 0.58，这就是其中一个来源，也是指纹认亲的天花板。

同一个模型，两家服务商差得比两个模型还大

34 对「同一个模型、两家服务商」里，有 10 对（29%）的差距已经掉进「两个不同模型」的区间：同一个模型从两家机房出来，差得跟换了个模型似的。

第二行那个数单独看一眼：同一家厂商、同一个模型名、两条都算官方的路径（Azure 和 OpenAI 一方接口），距离都快赶上「两个不同模型」的中位数了。第一行为什么能差到 0.716？论文没下定论；聚合平台自己倒是承认过，上游各家的压缩程度并不统一。

顺手还撞见了三件不对劲的事

有些猫腻光看回答内容根本发现不了，按 token 一笔笔记账才露馅。这三条不是花絮，它们直接决定了哪些接口被踢出样本。

第一条直接变成了排除标准：既然没法证明那几十个 token 不是一段藏起来的思考，就只能把这类接口全踢出去。判断只认实测行为、不认接口的自我声明，因为声明已经被证明靠不住了。

这些发现没走「先私下通知厂商」的流程。作者的理由：这不是等着修补的安全漏洞，公开也不会让谁多出一种攻击手段。问责靠的是把原始数据全公开：每次请求的时间戳、服务商、生成 ID 都在里面，被点名的和任何旁观者都能自己去复核、去反驳。

服务商要是学乖了，这方法还管用吗

服务商要是学乖了、开始反制呢？能做的事分三档，这套办法对每一档的效力不一样。

对付 T2 的底气是：题库里没有固定暗号。「说个随机颜色」「说个随机城市」是一类话，不是一句话：能无限改写、无限翻译（四种语言已经各来了一遍），审计时现场随机抽，还能混进正常流量里发。

想把审计流量筛出来，服务商就得从海量普通消息里，把所有「让模型说个什么」的小问题一条不漏地认出来、单独路由给真模型。筛严了会放跑审计流量、照样被抓；筛松了等于把一大片日常流量都交给真模型跑、白花钱。两头都亏。论文的说法是「在检测上代价很高」，具体多高没测。另外还有个口子没堵：同一类题换个说法问，指纹还稳不稳，实验留给了后续工作。

T3 的账卡片里已经算完：模仿到那个程度等于老实跑真货，钱省不下来。所以这套办法给不了数学铁证，它干的是把「换货还不被抓」变得不划算，跟「靠硬件出证明」（让芯片在硬件层面签字担保，跑的确实是那份权重）那条路线正好互补。

重复问同一个问题，会不会命中缓存把结果搞坏

反复问同一句话必然撞缓存：13.4% 的请求命中了提示词缓存，覆盖 10.1% 的输入 token。这会不会把测量搞坏？得分清是哪种缓存。

所以作者专门查了一遍响应级缓存，判据是：答案塌缩成一个 + 延迟异常低还特别稳。温度 1.0 下只出一个答案的题有 2040 道（分布集中本来就常见），其中延迟低于平时一半的只有 14 道。而这 14 道都还在正常的亚秒级范围，更像服务商负载波动，完全不像真缓存那种瞬间回放。这一轮没查出响应级缓存。

这套办法有六件事做不到

最后一件实用的事：这套东西不用自己重写。提示词原文（config/prompts.json）和带完整服务元数据的原始响应在公开数据包里，整套采集分析管线（Node.js 和 R）单独归档，两个包都挂在尾注的 Zenodo 链接下。拿下来，把「算账」那节的四步对你在用的接口跑一遍就行。

模型身份从最廉价的那条通道漏了出来：模型被问到一个无聊问题时吐出的那一个 token。 One Token Is Enough，结论章

AI 有个出名的毛病：它说不出真正的随机数。让它在 1 到 100 里随便挑，它翻来覆去就那一两个，而且各家偏爱的数还不一样。以前大家把这当缺陷、研究怎么修，这篇论文反过来，把它当成了指纹。

数出「哪个答案出现几次」，就得到一张分布表，这张表就是身份。可「像不像」还只是个感觉，要拿去卡门槛，得先折成一个能比的数。

论文把两张分布表的差距折成一个 0 到 1 的数（用的是 Jensen-Shannon 散度，好处是两边连一个共同答案都没有时，它照样算得出距离）。所有判断都在这把尺子上做。

全套 40 道题，判错率 7.3%，约合每 14 次错一次；只用 8 道题也有 10.6%。单次不足以下结论，但便宜到可以对同一个接口天天复检。便宜到什么程度，换算成同一件事看：