Cisco en VAIL onderzochten of het label ‘Amerikaans’ of ‘Chinees’ model iets zegt over de technische afkomst van AI-modellen. Twee onafhankelijke fingerprint-methodes vonden dat modellen sporen van hun bronmodel blijven dragen, ook na post-training en hernoeming onder een andere uitgever.
Wie naar een modelpagina op een repository kijkt, ziet een naam en een uitgever. In beleidsdiscussies wordt die uitgever vaak samengevat tot één landlabel. Cisco en VAIL hebben die aanname getest en concluderen dat het label onvoldoende is om technische onafhankelijkheid vast te stellen.
De onderzoekers noemen het fenomeen provenance entanglement. Moderne modellen worden zelden in isolatie gebouwd. Ze erven gewichten, trainingsdata en andere afhankelijkheden die organisatie- en landsgrenzen oversteken. De naam op het eindproduct weerspiegelt alleen de laatste stap in die keten.
Nemotron en Qwen als testcase
Als testcase koos het team Nvidia’s Nemotron-familie, vergeleken met Alibaba’s Qwen. Dat is een bruikbaar geval omdat Nvidia publiek documenteert welke Nemotron-modellen Qwen-basisgewichten gebruiken en welke op Nvidia- of Meta Llama-gewichten rusten. Op Hugging Face is bijvoorbeeld Qwen3-Nemotron-32B-RLBFF gefinetuned op Qwen3-32B, terwijl andere Nemotron-varianten vanaf scratch getraind zijn.
Twee methodes werden losgelaten op die modellen. Cisco’s Model Provenance Kit kijkt naar het artefact zelf via gewichtafgeleide identiteitssignalen. VAIL benadert het van buitenaf en fingerprint hoe modellen zich tijdens inference gedragen. De scores zijn niet onderling vergelijkbaar, maar beide moesten dezelfde richting opleveren.
Wat de cijfers laten zien
Dat deden ze. In Cisco’s catalogus van 184 modellen vormden Qwen-modellen 12,0 procent van de vergelijkingspool, maar 20,9 procent van de dichtstbijzijnde modellen van Nemotron met gedocumenteerde Qwen-afkomst. Dat is 1,74 keer het basispercentage. VAIL’s grotere catalogus van 1.159 modellen kwam op 14,9 procent tegenover 28,1 procent, oftewel 1,89 keer.
Beide methodes reproduceerden ook de gedocumenteerde volgorde: Qwen-gebaseerde Nemotrons scoorden het hoogst, daarna Nvidia-gebaseerde, en Llama-gebaseerde het laagst. Controlevergelijkingen met Google- en Meta-modellen lieten die verrijking niet zien.
Volgens Cisco is een fingerprint-match geen bewijs van causale afstamming, maar wel aanleiding voor nader onderzoek. Organisaties kunnen leveranciers vragen naar base checkpoints, afleidingsmethodes, trainingsdatasets, distillation teachers en post-release toegang. Cisco pleit voor een model bill of materials, vergelijkbaar met wat in software supply chain security gangbaar is.