QuantileMark: A Message-Symmetric Multi-bit Watermark for LLMs

إليك ملخص تقني مفصل لورقة البحث "QuantileMark: A Message-Symmetric Multi-bit Watermark for LLMs".

1. بيان المشكلة

مع الانتشار الواسع للنماذج اللغوية الكبيرة (LLMs)، تبرز حاجة ملحة لـ تتبع المصدر (provenance tracking) لنسب المحتوى إلى مستخدمين، أو نماذج، أو طوابع زمنية محددة. وبينما تُعد العلامات المائية صفرية البت (التي تكتشف ما إذا كان النص مولداً بواسطة الذكاء الاصطناي أم لا) أمراً راسخاً، فإن عمليات النشر العملية تتطلب بشكل متزايد علامات مائية متعددة البتات (multi-bit watermarks) لتشفير البيانات الوصفية (مثل معرفات المستخدمين - User IDs).

تحدد الورقة عيباً جوهرياً في مخططات العلامات المائية الحالية متعددة البتات، وتحديداً طرق تقسيم المفردات (vocabulary-partition methods) (مثل MPAC)، فيما يتعلق بـ تماثل الرسالة (Message Symmetry):

• المشكلة: في سيناريوهات فك التشفير منخفضة الإنتروبيا (حيث يكون النموذج واثقاً جداً)، يؤدي تقسيم المفردات إلى تخصيص ميزانيات احتمالية غير متساوية لرموز الرسائل المختلفة.
  • مثال: إذا خصص النموذج 80% من الاحتمالية للرمز (Token A)، وكان الرمز (A) يقع ضمن القسم المخصص للرسالة "00"، فإن تضمين "00" يكون "مجانيًا" (جودة عالية وثقة عالية في الكشف). ومع ذلك، فإن تضمين "01" قد يجبر النموذج على اختيار رمز ذيل (tail token) منخفض الاحتمالية، مما يؤدي إلى تدهور جودة النص وإضعاف أدلة الكشف.
• النتيجة: يخلق هذا انحيازاً منهجياً حيث تعتمد جودة النص المولد وموثوقية الكشف عن العلامة المائية على الرسالة المضمنة تحديداً. وهذا ينتهك العدالة التشغيلية والضمانات النظرية للحفاظ على التوزيع.

تحاول الطرق الحالية الحافظة للتوزيع (distribution-preserving) (مثل StealthInk) معالجة ذلك، لكنها غالباً ما تعطي الأولوية للتخفي (أدنى قدر من التشويه) على حساب قوة الكشف، مما ينتج عنه أدلة ضعيفة لاستعادة العلامة المائية متعددة البتات بشكل قوي، خاصة في الإعدادات الداخلية لمزودي الخدمة حيث يتوفر الوصول إلى الصندوق الأبيض (white-box access).

2. المنهجية: QuantileMark

يقترح المؤلفون QuantileMark، وهو إطار عمل للعلامات المائية متعددة البتات بنظام الصندوق الأبيض، يعمل على فترة الاحتمال التراكمي المستمرة (continuous cumulative probability interval) $[0, 1)$ بدلاً من مساحات المفردات المنفصلة.

الآلية الجوهرية

1. تقسيم المئينات (Quantile Partitioning):

   • بدلاً من تقسيم المفردات، يقوم QuantileMark بتقسيم فترة الاحتمال التراكمي $[0, 1)$ إلى $M$ من السلال (bins) ذات كتلة متساوية (حيث $M = 2^m$ و $m$ هو عدد البتات لكل رمز).
   • كل سلة $B_r = [r/M, (r+1)/M)$ تمثل بالضبط $1/M$ من الكتلة الاحتمالية، بغض النظر عن توزيع الرموز الأساسي أو إنتروبيا السياق.

2. التضمين (الإنشاء):

   • لرمز مستهدف $s_t$، تقوم عملية تبديل مفتاحية $\phi_t$ بربطه بسلة مستهدفة محددة $B_{r^*}$.
   • يقوم العينة بسحب قيمة عشوائية $u$ بشكل موحد من $B_{r^*}$.
   • الرمز الناتج هو الرمز الذي تغطيه فترة الاحتمال التراكمي لـ $u$.
   • النتيجة: يحصل كل رمز على ميزانية احتمالية ثابتة قدرها $1/M$. هذا يفرض تماثل الرسالة هيكلياً.

3. الكشف (التحقق):

   • يقوم المتحقق (الذي يمتلك وصول الصندوق الأبيض) بإعادة بناء التوزيع الأساسي $p_0$ وهندسة المئينات نفسها باستخدام الإرغام المعلمي (teacher forcing).
   • بالنسبة لرمز مرصود $x_t$، يحسب الكاشف الاحتمال اللاحق (posterior probability) لأصله من سلة معينة $r$:
     $$P(R_t = r | x_t, h_t) = \frac{\text{Overlap Mass}(x_t, B_r)}{p_0(x_t | h_t)}$$
   • يتم تجميع الأدلة باستخدام نسب الأرجحية اللاحقة اللوغاريتمية (Log Posterior Odds - LPO) عبر الخطوات المخصصة لنفس رمز الرسالة.
   • يتم فك تشفير الرسالة عن طريق تعظيم تراكم LPO لكل موضع رمز.

الضمانات النظرية

• عدم الانحياز للرسالة (Message-Unbiasedness): يثبت المؤلفون أنه إذا كانت الرسالة موحدة التوزيع، فإن التوزيع المائي المتوقع يساوي التوزيع الأساسي ($E[p_{wm}] = p_0$). هذا يضمن أن العلامة المائية لا تسبب أي تشويه في المتوسط بغض النظر عن محتوى الرسالة.
• عدم الانحياز للمشفر (Cipher-Unbiasedness): حتى لو كانت الرسالة ثابتة ولكن المفتاح عشوائي، يظل التوزيع محفوظاً.

3. المساهمات الرئيسية

1. إطار عمل QuantileMark: نظام علامة مائية أبيض الصندوق جديد يحدد قناة التضمين على فاصل الـ CDF المستمر، مما يضمن تقسيم الكتلة المتساوية لجميع رموز الرسائل.
2. الأساس النظري: صياغة وإثبات عدم الانحياز للرسالة، مما يوفر ضماناً صارماً بأن جودة التوليد ونتائج الكشف مستقلة عن محتوى الرسالة المحدد.
3. الأداء التجريبي المتفوق: أظهر تحسينات كبيرة في استعادة تعدد البتات وقوة الكشف مقارنة بالنماذج المرجعية المتطورة (MPAC, StealthInk) مع الحفاظ على تأثير ضئيل جداً على جودة التوليد (الارتباك - Perplexity).

4. النتائج التجريبية

قيم المؤلفون QuantileMark على مجموعتي بيانات C4 (الاستمرار مفتوح النهاية) و LFQA (الأسئلة والأجوبة طويلة الصيغة) باستخدام نماذج Llama-2 و Llama-3.

• دقة الاستعادة: حقق QuantileMark دقة بت تبلغ 98.93% على C4 و 95.00% على LFQA (رسالة 24 بت، 300 رمز)، متفوقاً على MPAC (97.02% / 87.70%) و StealthInk (90.03% / 74.47%).
• قوة الكشف: حقق منحنى AUC يقارب الكمال (0.9995 على C4، 0.9997 على LFQA)، و TPR@1%FPR، متفوقاً بشكل كبير على النماذج المرجعية، خاصة في الأنظمة منخفضة الإنتروبيا حيث يفشل تقسيم المفردات.
• جودة التوليد: ظل ارتباك (Perplexity) QuantileMark مطابقاً تقريباً للأساس غير المائي (على سبيل المثال، 7.404 مقابل 7.684 في C4)، مما يؤكد عدم الانحياز النظري. في المقابل، أظهر MPAC زيادة ملحو في الـ PPL بسبب الانحيازات التشويهية.
• المتانة: أظهرت الطريقة مقاومة قوية لهجمات النسخ واللصق (copy-paste) وهجمات المترادفات (synonym attacks). وبينما تظل هجمات إعادة الصياغة والحذف تحدياً (كما هو الحال مع جميع أنظمة تعدد البتات)، حافظ QuantileMark على مرونة أعلى من النماذج المرجعية.
• المنفعة في المهام اللاحقة: في مهام تلخيص النصوص والترجمة الآلية، حافظ QuantileMark على درجات المنفعة (BLEU, ROUGE) مقاربة للأساس بدون علامة مائية.

5. الأهمية والتأثير

• حل مشكلة التماثل: يعالج QuantileMark عيباً جوهرياً في العلامات المائية الحالية متعددة البتات. ومن خلال ضمان عدم وجود رسالة "أصعب" في التضمين من غيرها، فإنه يضمن جودة خدمة عادلة وتتبعاً موثوقاً لجميع المستخدمين.
• التحسين الداخلي للمزود: يستفيد الأسلوب من الوصول إلى الصندوق الأبيض لتعظيم إشارة الكشف دون المساس بالتخفي، مما يجعله مثالياً للتحقق الداخلي لمزودي الخدمة (مثل تتبع المحتوى السام أو انتهاكات حقوق الطبع والنشر).
• الجسر بين النظرية والتطبيق: يوفر نهجاً صارماً رياضياً (تقسيم المئينات متساوي الكتلة) يترجم مباشرة إلى نتائج تجريبية قوية وعالية الأداء، مما يضع معياراً جديداً لإثبات المصدر متعدد البتات في النماذج اللغوية الكبيرة.

ختاماً، يقدم QuantileMark حلاً قابلاً للتطبيق عملياً للنسب متعدد البتات الذي يوازن بين تماثل الرسالة، قوة الكشف، وجودة التوليد، متجاوزاً عدم التماثل الهيكلي المتأصل في طرق تقسيم المفردات.