怎样使用模型签名来验证LLM生成内容的完整性？

随着LLM在各个行业的广泛应用，确保模型输出内容的真实性（Provenance）和完整性（Integrity）变得至关重要。用户必须能够验证接收到的文本确实是由声称的模型服务生成的，且内容未被篡改。本文将深入探讨如何结合AI基础设施和标准数字签名技术，为LLM的生成内容提供强有力的加密保证。

1. 为什么LLM内容需要签名？

传统的LLM部署关注于性能和准确率，但很少关注输出内容的不可否认性。内容签名解决了以下核心问题：

1. 完整性校验： 确保生成的内容在传输过程中没有被恶意或意外修改。
2. 来源追溯（Provenance）： 确认内容确实来自特定的、受信任的AI服务或模型版本。
3. 反欺诈： 帮助区分模型生成的真实内容与伪造的“深度伪造”（Deepfake）文本。

2. 核心技术原理：非对称加密与摘要

我们使用非对称加密（例如RSA或EdDSA）结合哈希算法（例如SHA-256）来实现内容签名：

1. 哈希 (Hashing): 对LLM的输出内容计算一个唯一的摘要（指纹）。任何微小的改动都会导致摘要完全不同。
2. 签名 (Signing): 模型服务使用私钥对这个摘要进行加密，生成数字签名。
3. 验证 (Verification): 用户使用公开的公钥对签名进行解密，如果解密后的摘要与他们本地计算的内容摘要一致，则内容完整且来源可靠。

3. 实操：生成密钥对

首先，我们需要生成一对公钥和私钥。私钥由模型服务持有并严格保密，公钥则对外公开用于验证。

# 使用OpenSSL生成私钥 (rsa_private.pem) 和公钥 (rsa_public.pem)
openssl genpkey -algorithm RSA -out rsa_private.pem -pkeyopt rsa_keygen_bits:2048
openssl rsa -pubout -in rsa_private.pem -out rsa_public.pem

4. 模型服务端的签名实现 (Python)

我们使用Python的cryptography库来处理签名逻辑。假设我们有一个generate_content函数来模拟LLM的输出。

依赖安装

pip install cryptography

签名代码

from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import padding
from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.asymmetric import rsa
import base64

# 模拟LLM输出
def generate_content(prompt: str) -> str:
    return f"根据提示 '{prompt}'，模型生成了这段复杂的文本。"

def sign_content(content: str, private_key_path: str) -> str:
    # 1. 加载私钥
    with open(private_key_path, "rb") as key_file:
        private_key = serialization.load_pem_private_key(
            key_file.read(),
            password=None,
        )

    content_bytes = content.encode('utf-8')

    # 2. 计算并签名摘要
    signer = private_key.signer(
        padding.PSS(mgf=padding.MGF1(hashes.SHA256()), salt_length=padding.PSS.MAX_LENGTH),
        hashes.SHA256()
    )
    signer.update(content_bytes)
    signature = signer.finalize()

    # 3. 返回Base64编码的签名，便于传输
    return base64.b64encode(signature).decode('utf-8')

# 示例使用
article = generate_content("宇宙的尽头")
signature_b64 = sign_content(article, "rsa_private.pem")

print(f"--- LLM 生成内容 ---\n{article}")
print(f"--- 签名 (Base64) ---\n{signature_b64}")

5. 客户端的验证实现 (Python)

客户端接收到内容、签名和公钥（或公钥路径）后，执行验证过程。

from cryptography.exceptions import InvalidSignature

def verify_content(content: str, signature_b64: str, public_key_path: str) -> bool:
    try:
        # 1. 加载公钥
        with open(public_key_path, "rb") as key_file:
            public_key = serialization.load_pem_public_key(key_file.read())

        content_bytes = content.encode('utf-8')
        signature = base64.b64decode(signature_b64)

        # 2. 验证签名
        public_key.verify(
            signature,
            content_bytes,
            padding.PSS(mgf=padding.MGF1(hashes.SHA256()), salt_length=padding.PSS.MAX_LENGTH),
            hashes.SHA256()
        )
        return True
    except InvalidSignature:
        # 如果签名验证失败，抛出异常
        return False
    except Exception as e:
        print(f"验证过程中发生错误: {e}")
        return False

# 模拟客户端接收到的数据
received_content = article 
received_signature = signature_b64

# 正常验证
is_valid = verify_content(received_content, received_signature, "rsa_public.pem")
print(f"\n正常内容验证结果: {is_valid}") # 预期：True

# 模拟内容被篡改
tampered_content = received_content + " [篡改者添加的恶意信息]"
is_valid_tampered = verify_content(tampered_content, received_signature, "rsa_public.pem")
print(f"篡改内容验证结果: {is_valid_tampered}") # 预期：False

6. 结论

通过将数字签名集成到AI服务的响应流中，我们可以为LLM的输出提供强大的加密保证。这不仅增强了模型部署的安全性，也为未来监管和内容溯源提供了坚实的基础设施。在生产环境中，密钥管理（使用KMS服务）和证书轮换是实现此方案的关键环节。