Cisco publiceert gratis herkomstcheck voor 900 open AI-modellen

Cisco publiceert een gratis, openbare database die de herkomst van bijna 900 open AI-modellen natrekt op gewichtenniveau, in plaats van af te gaan op het herkomstlabel dat de uploader zelf intikte. De AI Supply Chain Provenance Explorer ging donderdag live en vraagt geen account of Cisco-product.

Dat raakt een datum die dichtbij ligt. Vanaf 2 augustus mag de Europese Commissie handhaven op de regels voor AI-modellen voor algemene doeleinden, met boetes tot 3 procent van de wereldwijde jaaromzet of 15 miljoen euro, welk bedrag ook hoger uitvalt. Wie een open model substantieel aanpast en op de Europese markt zet, kan daarbij zelf als aanbieder gelden. Vanaf dat moment is "het stond zo op de modelpagina" geen antwoord meer op de vraag waar je model vandaan komt, onder welke licentie het valt en in welk land de maker gevestigd is.

Het label dat niemand controleert

Een afgeleid model op Hugging Face draagt een base_model-tag: een tekstregel waarin de uploader zelf opgeeft van welk model hij vertrok. Dat veld wordt niet geverifieerd. Cisco schreef in april al dat een ontwikkelaar kan claimen dat een model vanaf nul is getraind terwijl het een aangepaste kopie van iets anders is, op een platform dat inmiddels meer dan twee miljoen modellen host.

Hoeveel er op dat ene onbewaakte veld rust, laat het ATOM Report van Nathan Lambert en Florian Brand zien, dat ongeveer 1.500 open taalmodellen volgt. Daarin klom het aandeel van Qwen als opgegeven basismodel van nieuwe afgeleiden van 1 procent in januari 2024 naar 69 procent in februari 2026. Die 69 procent is dus geen gemeten afstamming, maar een optelsom van labels die niemand heeft nagerekend. Van de 2,04 miljard cumulatieve downloads die het rapport tot maart 2026 telt, gaat 1,15 miljard naar Chinese modellen en 163 miljoen naar Europese.

Wat er per model in staat

Elke vermelding in de Explorer kan vijf soorten informatie dragen: modeldetails zoals parameteraantal, trainingstokens en downloads, de aanbieder met hoofdkantoorlocatie en gekoppelde Hugging Face-organisaties, de afstammingsgrafiek, de licentie met gebruiksbeperkingen, en een malwarescan op basis van ClamAV met het aantal daadwerkelijk gescande bestanden. Dat laatste getal vervangt een aanname door een meting: een badge per bestand zegt niets over de bestanden die nog in de wachtrij staan.

De kolom met hoofdkantoorlocatie is voor een Nederlands inkoopdossier het snelst bruikbare veld. Een afgeleid model dat een paar stappen van zijn oorsprong af staat, toont op de repositorypagina de uploader en niet de voorouder. Voor wie een open model in een product heeft zitten sluit dat aan bij een vraag die dit jaar al twee keer politiek werd: Washington dreigde met sancties en maakte de herkomst van een model tot een due-diligencevraag in plaats van een technische voetnoot, terwijl de sterkste open modellen inmiddels een Chinese jurisdictie meedragen.

Hoe de vingerafdruk werkt

De Explorer bouwt voort op de Model Provenance Kit, de opensource-toolkit die Cisco op 30 april uitbracht met een vingerafdrukdatabase van ongeveer 150 basismodellen uit meer dan 45 families. Die werkt in twee trappen. Trap één vergelijkt de architectuurmetadata voordat er ook maar één gewicht wordt geladen. Levert dat geen uitsluitsel, dan haalt trap twee vijf signalen uit de gewichten zelf: de geometrie tussen token-embeddings, de verdeling van embedding-groottes, de normalisatielagen, het energieprofiel over de diepte van het netwerk, en een directe vergelijking van gewichtswaarden. Op dat laatste signaal vertonen onafhankelijk getrainde modellen vrijwel geen correlatie.

Signalen uit de tokenizer worden wel berekend, maar tellen bewust niet mee in de score. StableLM en Pythia gebruiken allebei de GPT-NeoX-tokenizer zonder ook maar één gedeeld gewicht, dus meetellen zou vals alarm opleveren.

Op een benchmark van 111 modelparen zat de kit er vier keer naast, alle vier bij extreme architectuurtransformaties zoals een model dat van twaalf lagen naar vier wordt gedistilleerd. Dat komt neer op 96,4 procent nauwkeurigheid bij een drempelwaarde van 0,70. De onderliggende definitie labelt twijfelgevallen standaard als niet-verwant, omdat een vals positief neerkomt op een licentiebeschuldiging.

Wat het niet oplost

Bijna 900 modellen is een fractie van de ruim twee miljoen die Hugging Face host. Voor alles daarbuiten blijft het zelfopgegeven label de enige bron. Cisco heeft daarnaast niet gezegd of er een API komt, en zonder API kun je een model wel met de hand opzoeken maar de controle niet als poort in je bouwstraat vastleggen. Dat is precies het verschil tussen een governancedocument en een echte controle. Cisco plakt er zelf een disclaimer bij: de gegevens zijn informatief, zonder garantie dat een model veilig of geschikt is.

De verschuiving die hier zichtbaar wordt, is dat herkomst opschuift van een voetnoot op een modelpagina naar een veld in het goedkeuringsdossier. De vraag die na elk lek in een basismodel als eerste komt, luidt welke productiemodellen die zwakte erven en hoe je dat weet. Vandaag is het antwoord een handmatige zoektocht langs pagina's met labels die niemand heeft getoetst. Voor bijna 900 modellen is het vanaf donderdag een opzoekactie, en dat verplaatst de last van geloven naar aantonen.