一句话定义：模型指纹（Model Fingerprinting）是指在不接触模型权重、只通过 API 调用的情况下，根据它输出的行为特征，推断背后实际运行的是哪个模型、哪个版本、哪家厂商。
原理：认不出脸，就认口音
想象一个蒙面人站在你面前。你看不到脸，但只要他说几句话、走两步路、笑一声，你可能就猜出他是谁——因为口音、步态、口头禅是难以彻底伪装的特征。模型也是这样：厂商可以隐去模型名称，却很难把模型的所有行为习惯都抹平。
常见的"指纹"有这几类：
- 分词与计费痕迹。同样一段文字，不同模型计出的 token 数不同。用一批精心构造的字符串去试探，能反推出分词器（AI 词典：Token">Tokenizer）的边界行为。
- 格式与文风偏好。标题用不用粗体、列表用
-还是*、爱不爱用破折号和 emoji、拒绝请求时的措辞模板，这些都很稳定。 - 固定问句的固定回答。同一句话反复问不同版本，答案的细微差异就像一个"暗号"。
- 接口细节。流式输出的分块节奏、是否返回 logprobs、报错信息的措辞、工具调用（Tool Calling）的 JSON 格式，往往带着厂商的工程习惯。
- 延迟与吞吐分布。不同规模的模型，响应时间的统计特征不一样。
和相邻概念的区别
| 概念 | 谁在观察 | 观察什么 | 目的 |
|---|---|---|---|
| 模型指纹 | 外部调用方 | 被动的行为特征 | 判断"这是谁" |
| 水印（Watermarking） | 模型提供方 | 主动埋入的信号 | 追溯"这段话是谁生成的" |
| 模型评测 | 第三方 | 固定题目的分数 | 衡量"有多强" |
| 模型蒸馏 | 竞争方 | 大量输出分布 | 复制"能力" |
关键差别在于：水印是厂商自己埋的，指纹是外部人自己找的；评测看能力高低，指纹看身份归属。
对从业者的意义
最直接的用途是核验。采购或接入第三方服务时，对方声称"自研大模型"，实际可能是转发某家的 API。指纹检测能提供证据。其次是变更监控：服务端悄悄换模型、降级到小模型，用户往往感觉不到，但行为特征会漂移。做 A/B 实验或长期评测时，先确认"我前后测的是同一个东西"，否则数据全是噪音。
限制也要说清：指纹给出的是概率性判断，不是铁证。厂商会加系统提示词、做输出后处理来抹平特征，模型自身也在持续更新。所以它更适合作为一条线索，配合合同、日志、官方文档交叉验证——具体能力与版本信息，以官方页面为准。